Thứ Hai ập đến như một cron job đang trong cơn thịnh nộ.
Một đường dẫn xác thực bị hỏng ở đây, một sự cố nghiêm trọng phía kho lưu trữ (repo) ở kia, một vài thứ "đã được vá một phần" đang bị khai thác mạnh mẽ ngoài thực tế, và rồi những vòng thưởng thông thường: các công cụ phát triển bị đầu độc, những cuộc thảo luận mờ ám trên diễn đàn, các bộ công cụ phishing giả dạng ứng dụng năng suất, và AI đang hạ thấp rào cản cho những người vốn đã nghĩ rằng lệnh 'curl | sh' có cá tính riêng.
Cảm giác chung rất đơn giản: lỗ hổng cũ, vỏ bọc mới, lạm dụng nhanh hơn. Hãy vá những thứ hiển nhiên trước, sau đó hãy đọc phần còn lại.
⚡ Mối đe dọa của tuần
Lỗ hổng bypass xác thực PAN-OS GlobalProtect đang bị khai thác - Palo Alto Networks đã cảnh báo rằng một lỗ hổng bảo mật mức độ trung bình mới được tiết lộ gần đây, ảnh hưởng đến PAN-OS và Prisma Access, hiện đang bị khai thác tích cực ngoài thực tế. Lỗ hổng này được theo dõi dưới mã CVE-2026-0257 (điểm CVSS: 7.8), liên quan đến trường hợp bypass xác thực có thể bị kẻ xấu lợi dụng để thiết lập các kết nối VPN. Công ty bảo mật mạng cho biết vấn đề này đặc biệt ảnh hưởng đến các tường lửa có cấu hình GlobalProtect portal hoặc gateway khi cookies ghi đè xác thực được bật và tồn tại một cấu hình chứng chỉ cụ thể.
🔔 Tin tức hàng đầu
- Lỗ hổng RCE nghiêm trọng chưa được vá trong Gogs - Dịch vụ Git tự lưu trữ nguồn mở phổ biến Gogs đang bị ảnh hưởng bởi một lỗ hổng Zero-Day mức độ nghiêm trọng, cho phép thực thi mã từ xa (RCE). Theo Rapid7, lỗ hổng injection này có thể bị kẻ tấn công đã xác thực khai thác thông qua các pull request với tên nhánh độc hại. Vì Gogs mặc định bật tính năng đăng ký mở và không giới hạn việc tạo kho lưu trữ, kẻ tấn công chưa xác thực có thể dễ dàng tạo tài khoản và kho lưu trữ trên bất kỳ phiên bản nào có cấu hình mặc định. Hiện tại chưa có bản vá nào được phát hành.
- Hạ bệ hệ thống C2 của GlassWorm - CrowdStrike, Google và Shadowserver Foundation đã triệt phá chiến dịch mã độc GlassWorm bằng cách đánh sập đồng thời cả bốn kênh điều khiển (C2). GlassWorm đã thực hiện một "chiến dịch đa diện" sử dụng các tiện ích mở rộng VS Code độc hại được đăng tải trên Microsoft VS Code Marketplace và Open VSX. Các bằng chứng cho thấy những kẻ vận hành GlassWorm có nguồn gốc từ Nga.
- CERT-In yêu cầu các tổ chức vá lỗ hổng trong vòng 12 giờ - Các tổ chức tại Ấn Độ đã được thúc giục vá các lỗ hổng đang bị khai thác tích cực ảnh hưởng đến các hệ thống hướng Internet hoặc hệ thống "crown jewel" trong vòng 12 giờ để đối phó với tốc độ tấn công mà AI mang lại.
- GREYVIBE dựa vào AI để tấn công Ukraine - Nhóm tin tặc Nga GREYVIBE đã bị phát hiện sử dụng rộng rãi các mô hình ngôn ngữ lớn (LLMs) trong các cuộc tấn công nhằm vào các tổ chức chính phủ và quân sự tại Ukraine để thu thập tình báo.
- Đề xuất từ Chatbot AI chuyển hướng người dùng đến mã độc đào tiền ảo - Một chiến dịch mới lợi dụng việc tìm kiếm các công cụ phổ biến trên chatbot AI để đánh lừa người dùng tải về các tệp thực thi có chứa mã độc đào tiền ảo và thiết lập truy cập từ xa trái phép.
🔥 Các CVE đang thịnh hành
Lỗ hổng mới xuất hiện hàng tuần và khoảng cách giữa lúc có bản vá đến khi bị khai thác đang thu hẹp nhanh chóng. Dưới đây là những cái tên đáng chú ý nhất tuần này:
Hãy kiểm tra danh sách và ưu tiên vá những mục khẩn cấp trước: CVE-2026-8732 (WP Maps Pro), CVE-2026-0257 (PAN-OS), CVE-2026-27771 (Gitea), CVE-2026-45659 (Microsoft SharePoint), và các lỗ hổng trong Notepad++, Google Chrome, GitLab, Oracle, Samba.
🎥 Hội thảo An ninh mạng
- Vượt qua Zero-Day: Cách kẻ tấn công thực sự nhìn thấy mạng của bạn → Zero-day là không thể tránh khỏi. Trận chiến thực sự nằm ở những gì kẻ tấn công thấy sau khi đã xâm nhập.
- Tại sao Pentesting tự động lại không đủ hiệu quả → Tìm hiểu lý do tại sao các công cụ tự động thường bỏ sót các điểm mù quan trọng và cách xây dựng một chương trình xác thực bảo mật hoàn chỉnh.
📰 Tin tức thế giới Cyber
- Lỗ hổng Windows mới đang bị tấn công - Trung tâm An ninh mạng Bỉ (CCB) cảnh báo lỗ hổng CVE-2026-41089 trong Windows Netlogon đang bị khai thác tích cực để thực thi mã qua mạng.
- Anthropic xác nhận phát hành Mythos - Anthropic dự định đưa các mô hình lớp Mythos đến khách hàng trong vài tuần tới với các biện pháp bảo vệ mạng mạnh mẽ hơn.
- Phát hiện lỗ hổng Linux mới mang tên CIFSwitch - Lỗ hổng leo thang đặc quyền cục bộ (LPE) cho phép người dùng quyền thấp chiếm quyền root bằng cách lạm dụng lỗi logic trong nhân Linux.
- Dashlane cảnh báo về tấn công Brute-Force - Dashlane cho biết một số tài khoản người dùng đã bị nhắm mục tiêu trong một cuộc tấn công brute-force từ bên ngoài nhưng không có bằng chứng hệ thống bị xâm nhập.
- Chiến dịch Smishing toàn cầu ảnh hưởng đến 19 quốc gia - Một chiến dịch lừa đảo qua tin nhắn phối hợp quy mô lớn đã nhắm vào người nộp thuế, khách hàng chuyển phát và người dùng viễn thông tại nhiều quốc gia.
- Theo dõi khách truy cập trang web qua FROST - Nghiên cứu mới cho thấy các trang web độc hại có thể theo dõi người dùng bằng cách đo lường những thay đổi nhỏ trong thời gian truy cập SSD thông qua JavaScript.
- Lỗ hổng Instagram cho phép chiếm đoạt tài khoản - Một lỗ hổng cho phép sử dụng Meta AI để đặt lại mật khẩu cho các tài khoản không bật MFA đã được phát hiện và vá lỗi.
🔧 Công cụ An ninh mạng
- EvidenceForge → Công cụ mã nguồn mở từ Cisco Talos giúp tạo log bảo mật tổng hợp thực tế để đào tạo Threat Hunting và kiểm thử phát hiện.
- MCPGuard-Dynamic → Dự án từ Facebook cung cấp cơ chế sandboxing cấp nhân cho các lệnh gọi công cụ của tác nhân LLM sử dụng Protocol Model Context (MCP).
Kết luận
Đó là toàn cảnh tuần qua: tốc độ quá nhanh, quá nhiều cài đặt mặc định và không đủ người coi trọng các lỗi "nhỏ" cho đến khi chúng trở thành sự cố nghiêm trọng. Kẻ tấn công luôn tìm những con đường rẻ nhất trước, vì sự rẻ tiền vẫn còn hiệu quả.
Hãy vá những thứ ồn ào, kiểm tra những thứ kỳ lạ và đừng bỏ qua những thứ nhàm chán. Đó thường là nơi ngọn lửa bắt đầu.
