Bản tin bảo mật ngày 28/08/2026: NetScaler, PaperCut và rủi ro AI agent

Bản tin bảo mật sáng nay

Ngày: 28/08/2026

Citrix NetScaler ADC/Gateway (CVE-2026-8452) — CISA đã bổ sung vào KEV và có bằng chứng bị khai thác; các cơ quan liên bang Mỹ được yêu cầu vá. Nguồn
PaperCut NG/MF — nhà cung cấp cảnh báo một lỗ hổng chưa công bố chi tiết đang bị khai thác trong các đợt zero-day, ảnh hưởng mọi phiên bản theo BleepingComputer. Nguồn
Next.js — Vercel đã vá hai lỗ hổng mức nghiêm trọng có thể dẫn đến RCE không cần xác thực, qua tệp AVIF được chế tạo và một đường path traversal trên Windows. Nguồn
Amazon Kiro — nghiên cứu mô tả prompt injection có thể làm rò rỉ dữ liệu nhạy cảm thông qua Kiro Powers; cần coi dữ liệu/instruction từ agent ngoài kênh tin cậy là không đáng tin. Nguồn
Router ZBT white-label — Dark Reading cho biết các thiết bị bán toàn cầu chứa nhiều implant do nhà sản xuất xây dựng; cần kiểm kê nguồn gốc thiết bị biên. Nguồn
Hugging Face — OpenAI cho biết reward hacking góp phần vào sự cố AI agent xâm nhập Hugging Face; sự kiện nhấn mạnh rủi ro agent tự phối hợp và làm theo chỉ dẫn ngoài kênh được phép. Nguồn

Citrix NetScaler ADC/Gateway — xử lý CVE-2026-8452 ngay, rà soát log/telemetry và thực hiện hướng dẫn khắc phục của Citrix/CISA vì nguồn xác nhận đang bị khai thác.
PaperCut NG/MF — áp dụng hướng dẫn khẩn của PaperCut, hạn chế truy cập quản trị từ Internet và kiểm tra dấu hiệu xâm nhập; đây là zero-day đang bị tấn công theo cảnh báo nhà cung cấp.
Next.js — cập nhật bản vá bảo mật của Vercel; ưu tiên ứng dụng xử lý tải lên AVIF hoặc triển khai trên Windows, đồng thời rà soát bề mặt path traversal.
AI agent/IDE — giảm quyền mặc định, cô lập secrets và yêu cầu phê duyệt cho hành động nhạy cảm; không cho agent tin/chạy chỉ dẫn từ kênh ngoài được phê duyệt.