Nhà cung cấp hosting DreamHost xác nhận máy chủ chạy công cụ File Manager trên web đã bị truy cập trái phép, khiến thông tin đăng nhập FTP/SFTP và một phần tài khoản webmail của khách hàng bị lộ. Sự cố được phát hiện chiều 23/10/2026, và ngày 29/10/2026 DreamHost công bố bản cập nhật chi tiết về phạm vi ảnh hưởng cùng các bước khách hàng cần làm.

Tóm tắt nhanh

  • Hệ thống bị xâm nhập: máy chủ chạy File Manager trên web của DreamHost.
  • Dữ liệu bị lộ: tên đăng nhập và mật khẩu FTP/SFTP của người từng đăng nhập File Manager; thông tin đăng nhập của một số ít người dùng webmail.
  • Không thấy bị lộ: đăng nhập bảng điều khiển và dữ liệu thanh toán.
  • Quy mô: theo DreamHost, ít hơn nhiều so với 10% tài khoản email và FTP/SFTP.
  • Khoảng thời gian rủi ro: từ khoảng tháng 8 đến 23/10/2026.

Diễn biến sự cố

Theo thông báo của DreamHost, ngay khi phát hiện, hãng đưa các máy chủ File Manager ngoại tuyến, sửa lỗ hổng bị lợi dụng và bắt đầu điều tra. DreamHost đồng thời đặt lại mật khẩu cho người dùng email và FTP/SFTP có khả năng bị ảnh hưởng, kết thúc mọi phiên webmail đang hoạt động, rồi gửi email thông báo cho chủ tài khoản vào tối thứ Sáu và cuối tuần sau đó.

Ở bản cập nhật ngày 29/10, DreamHost cho biết số khách hàng bị ảnh hưởng thực tế ít hơn so với ước tính ban đầu, nên một số người nhận email đầu tiên thực ra không bị ảnh hưởng. Với một số ít trường hợp kẻ tấn công có thể đã xem nội dung hộp thư, hãng sẽ liên hệ riêng từng khách. DreamHost cũng đang thông báo cho các cơ quan quản lý và sẽ gửi thông báo chính thức tới người bị ảnh hưởng trong những ngày tới.

DreamHost khẳng định đây là "một cuộc tấn công có chủ đích" và sự cố không liên quan tới các bản cập nhật PHP gần đây, như lỗ hổng PHP2Shell đã được CISA xác nhận bị khai thác. Hãng cho biết máy chủ PHP được vá trong vài giờ sau khi có bản vá.

DreamHost đã làm gì sau sự cố?

  • Gỡ máy chủ File Manager bị ảnh hưởng khỏi dịch vụ và giữ lại để điều tra số.
  • Xây dựng lại File Manager với thêm lớp bảo mật và giám sát.
  • Đổi các thông tin xác thực nội bộ có thể bị lộ.
  • Rà soát các công cụ khác dành cho khách hàng để tìm điểm yếu tương tự.
  • Thuê chuyên gia bảo mật và điều tra số bên ngoài.

Khách hàng DreamHost cần làm gì?

  1. Đổi mật khẩu trong bảng điều khiển: chỉ chủ tài khoản mới đặt được mật khẩu mới, thay đổi có thể mất tới 15 phút để có hiệu lực. Hãy gõ trực tiếp panel.dreamhost.com vào trình duyệt thay vì bấm link trong email.
  2. Dùng mật khẩu mạnh, khác nhau cho từng người dùng FTP, SFTP và email, sau đó cập nhật trong phần mềm FTP và ứng dụng email.
  3. Kiểm tra file website: tìm file lạ hoặc thay đổi không do bạn thực hiện, đặc biệt là file PHP mới xuất hiện trong thư mục upload.
  4. Kiểm tra webmail: xem lại quy tắc chuyển tiếp (forwarding) và bộ lọc có cái nào bạn không tạo không.
  5. Cảnh giác lừa đảo: DreamHost cho biết sẽ không bao giờ gửi email hỏi mật khẩu hay yêu cầu đăng nhập qua link.

Nếu website lưu dữ liệu của khách hàng, DreamHost khuyên nên tham vấn tư vấn pháp lý về nghĩa vụ thông báo có thể phát sinh.

Bài học cho người dùng hosting

Sự cố cho thấy các công cụ tiện ích trên nền web như File Manager hay webmail cũng là bề mặt tấn công, vì chúng giữ thông tin đăng nhập của khách. Trong tháng 10/2026, nhiều nhà cung cấp hạ tầng đã gặp sự cố tương tự, từ Onamae Desktop Cloud đến Railway. Cách giảm thiểu hiệu quả là ưu tiên SFTP với SSH key thay cho mật khẩu FTP, không dùng lại mật khẩu, và duy trì sao lưu website độc lập với nhà cung cấp. Hướng dẫn tạo khóa có trong bài tạo SSH key trên Windows.

Nguồn tham khảo