Trong 7 ngày qua, một lỗ hổng nghiêm trọng trên macOS đã khiến giới bảo mật dậy sóng. CVE-2026-65400 — lỗ hổng cho phép kẻ tấn công đăng nhập vào màn hình chia sẻ (Screen Sharing) mà không cần mật khẩu, sử dụng bất kỳ tài khoản nào. Đây không phải là một lỗi nhỏ. Đây là một lỗ hổng xác thực bị bỏ qua hoàn toàn, được xếp loại Critical, cho phép kẻ tấn công chiếm toàn bộ quyền kiểm soát màn hình từ xa.
Bối cảnh: Khi "tiện lợi" trở thành "lỗ hổng"
Điều khiến tôi quan tâm không chỉ là kỹ thuật, mà là sự tương đồng đáng ngại giữa câu chuyện này và những gì đang diễn ra trong ngành blockchain. Cụ thể: các giao thức "phi tập trung" tự xưng nhưng thực chất tập trung ở những điểm không ngờ tới.
Hãy nhìn vào cách hoạt động của Screen Sharing trên macOS. Mặc dù được mô tả là một tính năng có chủ đích người dùng bật lên, nhưng trong thực tế, nó là một dịch vụ hệ thống chạy ngầm, kế thừa giao thức VNC. Và chính giao thức kế thừa này — với nhiều con đường xác thực khác nhau — là nơi mà lỗ hổng cư trú.
Sự thật bất tiện về giao thức này: nó được xây dựng từ thời điểm mà bảo mật không phải là ưu tiên hàng đầu. Và khi bạn kế thừa một hệ thống như vậy mà không tái cấu trúc, bạn sẽ mang theo tất cả những khiếm khuyết của nó.
Phân tích kỹ thuật: Lỗ hổng trong logic xác thực
Điều mà đội ngũ bảo mật của Apple không muốn bạn tính toán: thời gian trung bình để một người dùng cá nhân cập nhật macOS sau khi bản vá được phát hành. Dựa trên kinh nghiệm quan sát ngành của tôi, con số này thường là 1-4 tuần cho người dùng cá nhân, và có thể lên đến 1-3 tháng cho doanh nghiệp do quy trình kiểm tra hồi quy.
Lỗ hổng CVE-2026-65400 nằm trong dịch vụ screensharingd — một quá trình hệ thống chịu trách nhiệm xử lý các yêu cầu chia sẻ màn hình. Kẻ tấn công có thể gửi yêu cầu kết nối với tên người dùng bất kỳ và bỏ qua hoàn toàn bước xác thực mật khẩu. Điều này có nghĩa là: nếu thiết bị của bạn bật Screen Sharing và có thể truy cập từ mạng, bất kỳ ai trên mạng đó cũng có thể chiếm quyền điều khiển.
Điều đội ngũ không muốn bạn tính toán: mức độ phơi nhiễm thực tế của các doanh nghiệp. Trong quá trình tư vấn cho nhiều tổ chức, tôi nhận thấy rằng một tỷ lệ đáng kể các doanh nghiệp — đặc biệt là các công ty công nghệ — đã bật Screen Sharing cho nhân viên IT để hỗ trợ từ xa. Họ làm điều này vì sự tiện lợi, vì chi phí vận hành thấp hơn, nhưng họ không tính đến việc biến mỗi máy Mac thành một cửa ngõ mở cho kẻ xâm nhập.
Các nhà nghiên cứu bảo mật đã đảo ngược bản vá của Apple và phát hành PoC (Proof of Concept). Điều này có nghĩa là cửa sổ khai thác đang thu hẹp lại rất nhanh. Nhưng câu hỏi đặt ra là: có bao nhiêu máy Mac đã bị xâm nhập trước khi bản vá được phát hành? Và quan trọng hơn: có bao nhiêu máy Mac vẫn chưa được cập nhật?
Góc nhìn phản trực giác: Vấn đề không nằm ở Apple
Đây là lý do điều này chưa được định giá đúng: CVE-2026-65400 không phải là một thất bại của Apple. Nó là một thất bại có hệ thống của toàn ngành công nghệ trong cách chúng ta nghĩ về "mặc định an toàn".
Hãy nhìn vào cách các giao thức blockchain xử lý vấn đề tương tự. Bao nhiêu lần chúng ta thấy một "Layer 2" tự xưng là phi tập trung nhưng thực chất là một máy chủ tập trung duy nhất? Bao nhiêu lần chúng ta thấy các dự án "Bitcoin Layer 2" thực chất là các dự án Ethereum đổi tên để câu kéo sự chú ý? Câu chuyện về CVE-2026-65400 cũng tương tự: một hệ thống kế thừa (VNC) được nhúng vào một sản phẩm được cho là an toàn (macOS), và lỗ hổng nằm chính tại điểm kết nối giữa hai thế giới.
Playbook của tôi cho setup này là: kiểm tra mọi điểm kế thừa, mọi nơi mà code cũ được nhúng vào hệ thống mới. Với các giao thức blockchain, điều này có nghĩa là kiểm tra các cầu nối (bridge) — nơi mà tài sản di chuyển giữa các chuỗi khác nhau. Với macOS, đó là nơi mà giao thức VNC được nhúng vào hệ điều hành hiện đại.
Sự thật bất tiện về giao thức này: các kỹ sư của Apple đã vá lỗ hổng, nhưng họ không tái cấu trúc toàn bộ cơ chế xác thực của Screen Sharing. Điều đó có nghĩa là có thể còn những lỗ hổng tương tự khác đang chờ được khai thác. Tương tự như vậy, trong blockchain, việc vá một lỗ hổng trong một cây cầu mà không xem xét lại toàn bộ kiến trúc xác thực của nó chỉ là giải pháp tạm thời.
Takeaway: Bài học cho ngành công nghiệp phi tập trung
Chính hợp đồng thông minh của họ không đồng ý với tuyên bố "phi tập trung" của họ — và điều tương tự cũng đúng với Apple: hệ thống của họ không đồng ý với tuyên bố "an toàn mặc định" của họ.
Câu hỏi đặt ra cho cộng đồng blockchain: chúng ta có đang lặp lại sai lầm tương tự không? Chúng ta có đang xây dựng các hệ thống mới trên nền tảng kế thừa mà không kiểm tra kỹ lưỡng không? Lịch trả token khóa của VC nói lên tất cả — họ biết rằng sự chú ý của thị trường là có hạn, và họ cần bán câu chuyện trước khi mọi người nhận ra sự thật.
Điều team không muốn bạn tính toán: chi phí thực sự của việc không tái cấu trúc. Đối với Apple, đó là nguy cơ mất niềm tin của các doanh nghiệp — những người sẽ bắt đầu nghĩ hai lần trước khi triển khai Mac trên quy mô lớn. Đối với blockchain, đó là nguy cơ mất niềm tin của người dùng — những người sẽ bắt đầu nhận ra rằng "phi tập trung" chỉ là một từ khóa tiếp thị.
Tôi đã dành 28 năm quan sát ngành công nghệ. Tôi đã chứng kiến những vụ khai thác cầu nối trị giá hàng trăm triệu đô la — vụ Ronin 600 triệu USD, vụ Harmony bridge, vụ Wormhole. Tất cả đều có chung một mô hình: một điểm tập trung được giấu trong một hệ thống được cho là phi tập trung.
Câu hỏi mà mỗi nhà phát triển, mỗi doanh nghiệp, mỗi người dùng cần tự hỏi: bạn đang tin tưởng vào điều gì? Và điều bạn đang tin tưởng có thực sự an toàn như bạn nghĩ không? Bởi vì trong thế giới phi tập trung, cũng như trong macOS, lỗ hổng thường nằm ở nơi bạn ít ngờ tới nhất — tại điểm kết nối giữa cái cũ và cái mới, giữa cái được tuyên bố và cái thực sự được triển khai.