Hàng Loạt Nhà Cung Cấp Vá Lỗ Hổng Bảo Mật Trong Phần Mềm Doanh Nghiệp và Thiết Bị Mạng

SAP đã phát hành các bản cập nhật bảo mật để khắc phục hai lỗ hổng bảo mật nghiêm trọng có thể bị khai thác để thực thi mã tùy ý trên các hệ thống bị ảnh hưởng. Các lỗ hổng được đề cập dưới đây bao gồm CVE-2019-17571 (điểm CVSS: 9.8) - lỗ hổng code injection trong ứng dụng SAP Quotation Management Insurance (FS-QUO) và CVE-2026-27685 (điểm CVSS: 9.1) - lỗ hổng insecure deserialization.

SAP đã phát hành các bản cập nhật bảo mật để khắc phục hai lỗ hổng bảo mật nghiêm trọng có thể bị khai thác để thực thi mã tùy ý trên các hệ thống bị ảnh hưởng.

Các lỗ hổng được đề cập bao gồm:

CVE-2019-17571 (điểm CVSS: 9.8) - Lỗ hổng code injection trong ứng dụng SAP Quotation Management Insurance (FS-QUO)
CVE-2026-27685 (điểm CVSS: 9.1) - Lỗ hổng insecure deserialization trong SAP NetWeaver Enterprise Portal Administration

"Ứng dụng này sử dụng một thành phần lỗi thời của Apache Log4j 1.2.17 dễ bị tổn thương bởi CVE-2019-17571", công ty bảo mật SAP Onapsis cho biết. "Nó cho phép kẻ tấn công không có đặc quyền thực thi mã tùy ý từ xa trên máy chủ, gây ảnh hưởng nghiêm trọng đến tính bảo mật, toàn vẹn và khả dụng của ứng dụng."

CVE-2026-27685, mặt khác, bắt nguồn từ việc thiếu hoặc xác thực không đầy đủ trong quá trình deserialization nội dung được tải lên, điều này có thể cho phép kẻ tấn công tải lên nội dung không đáng tin cậy hoặc độc hại.

"Chỉ riêng việc kẻ tấn công cần đặc quyền cao để khai thác thành công mới ngăn lỗ hổng này bị gắn điểm CVSS là 10", Onapsis nói thêm.

Việc tiết lộ này diễn ra khi Microsoft đã phát hành các bản vá cho 84 lỗ hổng trên các sản phẩm, bao gồm hàng chục lỗ hổng privilege escalation và remote code execution.

Vào thứ Ba, Adobe cũng thông báo các bản vá cho 80 lỗ hổng, trong đó có bốn lỗ hổng nghiêm trọng ảnh hưởng đến Adobe Commerce và Magento Open Source có thể dẫn đến privilege escalation và security feature bypass. Ngoài ra, hãng cũng đã khắc phục năm lỗ hổng nghiêm trọng trong Adobe Illustrator có thể mở đường cho việc thực thi mã tùy ý.

Ở một diễn biến khác, Hewlett Packard Enterprise đã phát hành các bản sửa lỗi cho năm lỗ hổng trong Aruba Networking AOS-CX. Lỗ hổng nghiêm trọng nhất là CVE-2026-23813 (điểm CVSS: 9.8), một lỗ hổng authentication bypass ảnh hưởng đến giao diện quản lý.

"Một lỗ hổng đã được xác định trong giao diện quản lý dựa trên web của các switch AOS-CX có thể cho phép một tác nhân từ xa không được xác thực vượt qua các kiểm soát xác thực hiện có", HPE cho biết. "Trong một số trường hợp, điều này có thể cho phép đặt lại mật khẩu quản trị."

"Việc khai thác lỗ hổng Aruba này có khả năng cấp cho kẻ tấn công toàn quyền kiểm soát các thiết bị mạng AOS-CX và khả năng xâm nhập toàn bộ hệ thống mà không bị phát hiện", Ross Filipek, CISO tại Corsica Technologies, cho biết trong một tuyên bố.

"Một sự xâm nhập thành công có thể dẫn đến gián đoạn liên lạc mạng hoặc làm suy yếu tính toàn vẹn của các dịch vụ kinh doanh quan trọng. Lỗ hổng này là một lời nhắc nhở rằng các lỗ hổng trong thiết bị mạng đang trở nên phổ biến hơn trong thế giới siêu kết nối ngày nay. Khi kẻ tấn công giành được quyền truy cập đặc quyền vào các thiết bị này, nó đặt các tổ chức vào nguy cơ đáng kể."