Cảnh báo bảo mật: Lỗ hổng SQL Injection nghiêm trọng CVE-2026-16462 trong PROCON-WEB SCADA

Ngày 28/07/2026, thông tin về lỗ hổng bảo mật nguy hiểm mang mã hiệu CVE-2026-16462 đã chính thức được công bố. Lỗ hổng này ảnh hưởng trực tiếp đến hệ thống phần mềm giám sát và điều khiển công nghiệp PROCON-WEB SCADA, đặt ra nguy cơ lớn đối với an toàn thông tin của các hạ tầng kỹ thuật và nhà máy đang vận hành ứng dụng này.

Bitech xin gửi tới quý độc giả và các quản trị viên hệ thống thông tin chi tiết về lỗ hổng cũng như các giải pháp khắc phục kịp thời.

Chi tiết kỹ thuật về lỗ hổng CVE-2026-16462

• Mã lỗ hổng: CVE-2026-16462
• Mức độ nghiêm trọng: Nghiêm trọng (CRITICAL)
• Ngày phát hành: 28/07/2026
• Loại lỗ hổng: SQL Injection (Lỗi chèn câu lệnh SQL)

Nguyên nhân gốc rễ của CVE-2026-16462 nằm ở điểm cuối (endpoint) GetGridData trong phần mềm PROCON-WEB SCADA. Hệ thống đã không thực hiện việc lọc và làm sạch dữ liệu đầu vào (data sanitization) một cách chính xác trước khi đưa vào truy vấn cơ sở dữ liệu.

Điều này tạo điều kiện cho đối tượng tấn công gửi các yêu cầu HTTP chứa mã độc được chuẩn bị tỉ mỉ đến endpoint GetGridData. Từ đó, kẻ tấn công có thể can thiệp trực tiếp vào câu lệnh SQL được thực thi ở máy chủ cơ sở dữ liệu backend.

Tác động và đối tượng bị ảnh hưởng

Mức độ tác động

Lỗ hổng này đặc biệt nguy hiểm bởi hai yếu tố chính:

1. Không cần xác thực (Unauthenticated): Kẻ tấn công không cần có tài khoản hay quyền truy cập hợp lệ vào hệ thống vẫn có thể khai thác thành công.
2. Thực thi từ xa (Remote): Cuộc tấn công có thể được thực hiện thông qua mạng Internet hoặc mạng nội bộ nếu endpoint tiếp xúc với môi trường truyền thông.

Khi khai thác thành công, kẻ tấn công có thể:

• Đọc, trích xuất toàn bộ dữ liệu nhạy cảm lưu trữ trong cơ sở dữ liệu SCADA.
• Thay đổi, thêm mới hoặc xóa dữ liệu cấu hình, nhật ký vận hành.
• Trong một số trường hợp cấu hình sai quyền hạn cơ sở dữ liệu, kẻ tấn công có thể leo thang đặc quyền để chiếm quyền kiểm soát máy chủ chứa dữ liệu.

Đối tượng bị ảnh hưởng

Các tổ chức, doanh nghiệp đang sử dụng giải pháp PROCON-WEB SCADA có mở cổng kết nối hoặc cho phép truy cập tới endpoint GetGridData đều nằm trong phạm vi rủi ro.

Khuyến nghị khắc phục và giảm thiểu rủi ro

Để đảm bảo an toàn cho hệ thống điều khiển công nghiệp, Bitech khuyến nghị các đơn vị quản hành thực hiện ngay các biện pháp sau:

1. Cập nhật bản vá: Kiểm tra thông báo từ nhà sản xuất và tiến hành cập nhật PROCON-WEB SCADA lên phiên bản mới nhất đã được sửa lỗi theo hướng dẫn của CERT-VDE.
2. Hạn chế truy cập mạng: Đảm bảo hệ thống SCADA không bị phơi nhiễm trực tiếp ra Internet. Sử dụng Tường lửa (Firewall) hoặc WAF để chặn các truy cập bất thường đến endpoint GetGridData từ các địa chỉ IP không tin cậy.
3. Áp dụng nguyên tắc đặc quyền tối thiểu: Cấu hình tài khoản cơ sở dữ liệu mà PROCON-WEB SCADA sử dụng với quyền hạn tối thiểu cần thiết, tránh dùng tài khoản quản trị cao nhất (sa, root) để hạn chế thiệt hại khi bị chèn lệnh.
4. Giám sát nhật ký: Rà soát lại log truy cập web và log truy vấn cơ sở dữ liệu để phát hiện các dấu hiệu bất thường liên quan đến SQL Injection trong thời gian qua.

Nguồn tham khảo

• Cơ sở dữ liệu lỗ hổng quốc gia (NVD): https://nvd.nist.gov/vuln/detail/CVE-2026-16462
• Khuyến cáo bảo mật từ CERT-VDE: https://www.certvde.com/en/advisories/VDE-2026-085/

Ngày phát hành: 28/07/2026
Nguồn: NVD — CVE-2026-16462
Tham khảo: https://www.certvde.com/en/advisories/VDE-2026-085/