Bitech phát cảnh báo về lỗ hổng bảo mật CVE-2026-61861 ảnh hưởng đến ImageMagick trước phiên bản 7.1.2-26, có nguy cơ gây từ chối dịch vụ hoặc thực thi mã.
Ngày 11/07/2026, thông tin chi tiết về lỗ hổng bảo mật mang mã hiệu CVE-2026-61861 ảnh hưởng đến thư viện xử lý hình ảnh phổ biến ImageMagick đã chính thức được công bố. Đây là lỗ hổng liên quan đến việc quản lý bộ nhớ, có thể ảnh hưởng đến độ ổn định và an toàn của các hệ thống đang sử dụng công cụ này.
Chi tiết kỹ thuật về lỗ hổng
- Mã lỗ hổng: CVE-2026-61861
- Ngày công bố: 11/07/2026
- Loại lỗ hổng: Use-After-Free (Sử dụng vùng nhớ sau khi đã giải phóng)
- Mức độ nghiêm trọng: Thấp (LOW)
Lỗ hổng xuất hiện trong phương thức FormatMagickCaption của ImageMagick. Cụ thể, khi quá trình cấp phát bộ nhớ (memory allocation) gặp thất bại, hệ thống xử lý ngoại lệ không đúng cách dẫn đến hiện tượng con trỏ lơ lửng (dangling pointer) vẫn tham chiếu tới vùng nhớ đã được giải phóng.
Kẻ tấn công có thể cố tình tạo ra các kịch bản kích hoạt lỗi cấp phát bộ nhớ nhằm khai thác lỗ hổng Use-After-Free này. Hậu quả có thể dẫn đến việc ứng dụng bị treo/sập bất ngờ (Denial of Service - DoS) hoặc trong một số điều kiện kỹ thuật phức tạp hơn, có tiềm năng dẫn đến thực thi mã ngoài ý muốn. Mặc dù nguy cơ thực thi mã tồn tại về mặt lý thuyết, độ nghiêm trọng được đánh giá ở mức Thấp (LOW) do điều kiện để khai thác thành công đòi hỏi các yếu tố đặc thù về môi trường bộ nhớ.
Đối tượng bị ảnh hưởng
Lỗ hổng này ảnh hưởng trực tiếp đến:
- Tất cả các phiên bản ImageMagick trước phiên bản 7.1.2-26.
- Các ứng dụng web, dịch vụ máy chủ, hoặc quy trình xử lý hình ảnh tự động có nhúng hoặc gọi thư viện ImageMagick chưa được cập nhật.
Biện pháp khắc phục và khuyến nghị
Để đảm bảo an toàn và tính sẵn sàng cho hệ thống, chuyên gia Bitech khuyến nghị các quản trị viên và nhà phát triển thực hiện ngay các bước sau:
- Cập nhật phiên bản: Nâng cấp ImageMagick lên phiên bản 7.1.2-26 hoặc các bản phát hành mới hơn càng sớm càng tốt để vá hoàn toàn lỗ hổng trong phương thức
FormatMagickCaption. - Rà soát hệ thống: Kiểm tra toàn bộ các máy chủ và container đang chạy dịch vụ xử lý ảnh để xác định phiên bản ImageMagick hiện tại.
- Giám sát tài nguyên: Đảm bảo hệ thống có đủ bộ nhớ RAM và thiết lập hạn ngạch (quota) hợp lý để giảm thiểu nguy cơ cố tình làm kiệt hụt bộ nhớ từ phía người dùng không xác thực.
Nguồn tham khảo
- NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-61861
- GitHub Security Advisory: https://github.com/ImageMagick/ImageMagick/security/advisories/GHSA-qvxh-prvr-85w2
- VulnCheck: https://www.vulncheck.com/advisories/imagemagick-before-26-use-after-free-in-formatmagickcaption
Ngày phát hành: 11/07/2026
Nguồn: NVD — CVE-2026-61861
Tham khảo: https://github.com/ImageMagick/ImageMagick/security/advisories/GHSA-qvxh-prvr-85w2
Tham khảo: https://www.vulncheck.com/advisories/imagemagick-before-26-use-after-free-in-formatmagickcaption