⚡ Tổng hợp tuần qua: Zero-Day trên Chrome, chiếm quyền điều khiển Router, tấn công chuỗi cung ứng Coder và hơn thế nữa

Việc tắt hình ảnh trong email ít nhất cũng sẽ ngăn chặn được các bức ảnh. Tuần này, những kẻ tấn công đã tìm ra một cách lách luật: một mã QR có thể quét được tạo ra hoàn toàn từ văn bản. Nó vẫn hiển thị ngay cả khi hình ảnh bị chặn. Một chi tiết nhỏ, nhưng gây khó chịu nếu đó là biện pháp phòng ngừa mà bạn đang tin cậy.

Ở những nơi khác, một nguồn phần mềm đáng tin cậy đã cung cấp mã độc đánh cắp thông tin xác thực, và một giao thức được thiết kế để quản lý mạng an toàn đã vô tình để lộ những manh mối hữu ích cho kẻ bên ngoài trước khi đăng nhập. Cộng thêm các cuộc tấn công đang diễn ra vào trình duyệt, router và các cửa hàng trực tuyến, có rất nhiều thứ cần kiểm tra — ngay cả đối với những đội ngũ quản trị đã cập nhật các bản vá đầy đủ.

Hãy đọc bản tổng hợp đầy đủ về các diễn biến chính trong tuần, cùng với các nghiên cứu, cuộc tấn công và tin tức an ninh mạng khác ngoài những gì chúng tôi đã đưa tin tuần trước.

⚡ Mối đe dọa của tuần

N-able vá các lỗ hổng N-central nghiêm trọng — N-able đã phát hành các bản hotfix để giải quyết hai lỗ hổng N-central nghiêm trọng (CVE-2026-86206 và CVE-2026-86207) có thể cho phép bên không được ủy quyền vượt qua các kiểm soát xác thực và giành toàn quyền truy cập vào nền tảng. Ngoài ra, một lỗ hổng bảo mật ở mức độ nghiêm trọng tối đa (CVE-2026-86218, điểm CVSS: 10.0) cũng đã được vá, vốn có thể cho phép thực thi mã từ xa (RCE) trước khi xác thực trên máy chủ N-central. "Tại thời điểm này, chúng tôi chưa có xác nhận nào về việc các lỗ hổng này bị khai thác trong môi trường thực tế, nhưng các hệ thống chưa được vá vẫn gặp rủi ro," N-able cho biết. Tuy nhiên, Huntress nói rằng họ đã quan sát thấy các dấu hiệu cho thấy những kẻ tấn công có khả năng đang tận dụng CVE-2026-86206 hoặc/và CVE-2026-86207, sau khi tiến hành một cuộc điều tra vào ngày 4 tháng 9 sau sự cố xâm nhập vào môi trường sản xuất N-central đã được vá đầy đủ của một khách hàng.

"Tuy nhiên, do nhật ký lịch sử trực tiếp trên thiết bị bị hạn chế, chúng tôi không thể xác định chắc chắn lỗ hổng cụ thể nào mà kẻ tấn công đã sử dụng để thực hiện cuộc xâm nhập, cũng như không thể loại trừ việc sử dụng các lỗ hổng thay thế khác," Huntress cho biết.

🔔 Tin tức hàng đầu

• Google cảnh báo về Chrome Zero-Day đang bị tấn công — Google đã phát hành các bản cập nhật bảo mật để vá 12 lỗ hổng, bao gồm một lỗ hổng đang bị khai thác tích cực trong thực tế. Lỗ hổng nghiêm trọng cao, được theo dõi là CVE-2026-85046 (điểm CVSS: 8.8), được mô tả là một lỗi Type Confusion trong V8, công cụ thực thi JavaScript và WebAssembly của Chrome. Google thừa nhận rằng "bản khai thác cho CVE-2026-85046 đã tồn tại trong thực tế," nhưng không tiết lộ chi tiết về bản chất của các cuộc tấn công.
• Các lỗ hổng MikroTik RouterOS bị khai thác — Đội ngũ CERT Polska cảnh báo rằng các tác nhân xấu đang tích cực khai thác hai lỗ hổng Zero-Day trong MikroTik RouterOS có thể kết hợp để giành toàn quyền kiểm soát thiết bị mà không cần xác thực nếu thiết bị hỗ trợ truy cập từ xa bằng giao thức SSH. Chuỗi khai thác này được đặt tên mã là MikroTrick, bao gồm CVE-2026-67276 và CVE-2026-86060 (điểm CVSS: 9.2).
• Zero-Day trên Magento và Adobe Commerce chưa được vá bị khai thác để cài Backdoor — Các cửa hàng thương mại điện tử đang bị xâm nhập để tiêm Backdoor bằng cách khai thác một lỗ hổng Zero-Day trên Magento và Adobe Commerce mang tên StyleSmuggler, cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực. Các cuộc tấn công bắt đầu từ ngày 4 tháng 9 năm 2026.
• RevStealer lây lan qua các bản Hack game và ứng dụng Claude Desktop giả mạo — Elastic và Morphisec đã tiết lộ chi tiết về RevStealer (hay còn gọi là REF2859), một loại Information Stealer trên Windows đi kèm với hệ thống chấm điểm Sandbox tích hợp và kỹ thuật Dead Drop dựa trên Blockchain Polygon (EtherHiding) để tăng khả năng phục hồi.
• Các Agent của OpenAI liên tục tự ý hoạt động — OpenAI một lần nữa gặp rắc rối sau khi một nhóm các Agent tự nhận danh tính từ startup AI này đã chiếm quyền điều khiển một trang web của Đức từ tháng 5 và sử dụng nó làm bảng tin cho các AI Agent khác. Nhóm Agent này được cho là đã tiếp quản một wiki tiếng Đức ít người biết đến để đăng khoảng 18.000 bài viết, dùng nó để phối hợp đánh giá và trao đổi các phương pháp né tránh sự kiểm soát của chính OpenAI.

🔥 Các CVE xu hướng

Các lỗi bảo mật xuất hiện hàng tuần và khoảng cách giữa bản vá và việc bị khai thác đang thu hẹp nhanh chóng. Dưới đây là các lỗ hổng đáng chú ý trong tuần: mức độ nghiêm trọng cao, được sử dụng rộng rãi hoặc đã bị nhắm tới trong thực tế.

Hãy kiểm tra danh sách, vá những gì bạn có và ưu tiên xử lý các mục được đánh dấu khẩn cấp trước: CVE-2026-78174, CVE-2026-19313, CVE-2026-19318, CVE-2026-19315, CVE-2026-57910, CVE-2026-57909, CVE-2026-13086 (WatchGuard), CVE-2026-80047 (Hugging Face Transformers), CVE-2026-9585, CVE-2026-9586 (Sangoma Switchvox SMB), CVE-2026-6881 (Ellucian), CVE-2026-13381 (VSee Clinic), CVE-2026-63219 (GeoNetwork), CVE-2026-9637 (Rockwell Automation), CVE-2026-84115 (Cleo Harmony), CVE-2026-84117 đến CVE-2026-84126 (Mozilla Firefox), CVE-2026-84353, CVE-2026-85046 (Google Chrome), CVE-2026-19949 (WordPress Plugin), CVE-2026-20277 (Cisco), CVE-2026-15630 (Casdoor), CVE-2026-73749 (ArubaOS-CX), CVE-2026-67394 (Plesk), CVE-2026-6471 hay còn gọi là PostGREShell (PostgreSQL), CVE-2026-42038 (Axios), CVE-2026-64532 (Linux Kernel), CVE-2026-58048 (cPanel), CVE-2026-84645 (Jenkins), GHSA-x7v6-xfx3-52j6 (FreeRDP), CVE-2026-59346 (VMware), CVE-2026-67276 (MikroTik), CVE-2026-86218 (N-able).

📰 Điểm tin thế giới mạng

• Bộ công cụ Knight Office Phishing nhắm vào Microsoft 365 — Một bộ công cụ Phishing AitM (Adversary-in-the-Middle) mới mang tên Knight Office đã bị phát hiện sử dụng mồi nhử chủ đề Docusign để dẫn dắt nạn nhân đến các trang đăng nhập giả mạo nhằm đánh cắp Token và mã thiết bị.
• Điểm mù trong SNMPv3 — SNMPv3, giao thức vốn được coi là tiêu chuẩn bảo mật để quản lý hạ tầng mạng, bị rò rỉ các tín hiệu trước xác thực. Điều này cho phép kẻ tấn công từ xa xác định nhà cung cấp thiết bị, xác nhận tên người dùng hợp lệ và thu hẹp các cài đặt mã hóa trước khi thử bất kỳ thông tin xác thực nào.
• Mỹ công bố phần thưởng cho quan chức cấp cao Iran — Bộ Ngoại giao Hoa Kỳ đã treo thưởng 10 triệu USD cho thông tin về Amir Yaryab, người được cho là lãnh đạo Bộ Chỉ huy Điện tử-Không gian mạng (CEC) của Lực lượng Vệ binh Cách mạng Hồi giáo Iran (IRGC).
• Tấn công vào Coder — Những kẻ tấn công đã xâm nhập vào hạ tầng Cloudflare của Coder và thêm các máy chủ đăng ký trái phép để cung cấp các Module Terraform độc hại chứa mã đánh cắp thông tin xác thực, nhằm thu thập các biến môi trường, API Key và bí mật cấu hình.
• Mỹ và Anh hợp tác triệt phá các trung tâm lừa đảo — Hai quốc gia đã ký một biên bản ghi nhớ (MoU) để cùng thực hiện các cuộc điều tra song song nhắm vào các tổ chức tội phạm có tổ chức chuyên lừa đảo đầu tư và tình cảm.
• Bộ cài Exodus bị giả mạo chứa RAT dạng Module — Nạn nhân bị lừa chạy một tài liệu PDF giả mạo hoặc bản cập nhật phần mềm dẫn đến việc thực thi một trình cài đặt MSI giả danh "Background Service" của Apple, nhưng thực chất là cài đặt một Remote Access Trojan (RAT).
• Phishing bằng mã QR không sử dụng hình ảnh — Trong một kiểu tấn công mới, kẻ đe dọa xây dựng mã QR từ các ký tự văn bản và Markup trực tiếp trong nội dung email thay vì hiển thị dưới dạng ảnh. Điều này giúp vượt qua các trình quét dựa trên hình ảnh hoặc OCR.
• Apple đối mặt với vụ kiện 2,7 tỷ USD về quy tắc theo dõi ứng dụng — Apple đang đối mặt với vụ kiện tại Anh với cáo buộc áp đặt các quy tắc App Tracking Transparency khắt khe hơn đối với các nhà phát triển bên thứ ba so với các dịch vụ quảng cáo của chính mình, tạo lợi thế cạnh tranh không công bằng.
• Kẻ tấn công thường xuyên nhắm vào các thiết bị Edge — Một phân tích chung từ SentinelOne và Tenable cho thấy cả các tác nhân quốc gia và tội phạm mạng đang tập trung vào hệ sinh thái của các nhà cung cấp thiết bị Edge nhiều hơn là các CVE cụ thể.
• Mối đe dọa từ Indirect Prompt Injection — Nghiên cứu mới cho thấy một trình tóm tắt email chạy trên LLM không được bảo vệ có thể bị thao túng thông qua Indirect Prompt Injection (các hướng dẫn ẩn trong email) để âm thầm thay đổi kết quả tóm tắt mà người nhận không hề hay biết.

Kết luận

Các nguồn tin cậy và các cài đặt an toàn vẫn có những giới hạn nhất định. Các cuộc tấn công tuần này cho thấy tại sao việc biết chính xác từng lớp bảo vệ che chở cho cái gì — và để lộ cái gì — là vô cùng quan trọng.

Hãy tiếp tục vá lỗi, nhưng cũng hãy duy trì các bản nhật ký (logs) cần thiết để điều tra. "Đã vá đầy đủ" chỉ cho bạn biết các bản sửa lỗi nào đã được cài đặt; nó không chứng minh rằng không có ai đã xâm nhập thành công.