Điểm nóng
- ConnectWise Cloud Backup bị lạm dụng: kẻ tấn công dùng thông tin xác thực ứng dụng bị xâm phạm để truy cập các tenant Microsoft 365; ConnectWise đã ngừng quyền truy cập dịch vụ. Rà soát đăng nhập ứng dụng và thu hồi thông tin xác thực liên quan. Nguồn
- Drupal vá hai lỗi RCE nghiêm trọng: dự án cảnh báo nguy cơ khai thác có thể xuất hiện; nguồn hiện có không nêu mã CVE hay phiên bản cụ thể. Cập nhật theo advisory chính thức. Nguồn
- Magento/Adobe Commerce — BlockStrap: bài báo nêu lỗi tối đa mức nghiêm trọng CVE-2026-103849 có thể cho phép thực thi PHP tùy ý; chưa có chi tiết phiên bản bị ảnh hưởng trong dữ liệu thu thập. Kiểm tra advisory và bản vá của nhà cung cấp. Nguồn
- Gói npm imgdecode độc hại: bị phát hiện chứa bộ nạp shellcode trong native addon Windows, thuộc chiến dịch MALFEX. Kiểm tra dependency/lockfile và loại bỏ gói nếu hiện diện. Nguồn
- AOMEI Backupper bị can thiệp cập nhật: kẻ tấn công thay đổi tệp trên máy chủ cập nhật trong các khoảng ngắn từ tháng 5 đến tháng 7/2026 để phát tán backdoor. Đối chiếu nguồn tải, chữ ký và dấu hiệu cập nhật bất thường. Nguồn
- Quảng cáo độc hại phát tán Candiru: báo cáo mô tả tấn công zero-click qua quảng cáo nhắm mục tiêu, không yêu cầu nạn nhân tương tác. Hạn chế quảng cáo/định tuyến không tin cậy và cập nhật trình duyệt, thiết bị. Nguồn
Ưu tiên vá ngay
- Drupal: áp dụng bản vá cho hai lỗi RCE theo advisory chính thức; kiểm tra toàn bộ site thuộc phiên bản được hỗ trợ.
- Magento/Adobe Commerce (CVE-2026-103849): xác minh phiên bản và biện pháp khắc phục từ Adobe; ưu tiên hệ thống cửa hàng internet-facing.
- Microsoft 365/ConnectWise Cloud Backup: rà soát service principal, đăng nhập bất thường và quyền truy cập; thu hồi credential/tokens liên quan, làm theo hướng dẫn ConnectWise.
- npm imgdecode và AOMEI Backupper: kiểm kê cài đặt/dependency, cô lập máy nghi nhiễm và xác minh tính toàn vẹn phần mềm.
Ghi chú nguồn: CISA KEV trả 403; không thể xác nhận các mục trên có trong KEV. Một số feed vendor bị lỗi phân tích. Không có CVSS/phiên bản ảnh hưởng bổ sung được xác nhận trong dữ liệu thu thập.
Nguồn tham khảo
- BleepingComputer — ConnectWise/Microsoft 365
- BleepingComputer — Drupal
- BleepingComputer — Magento
- The Hacker News — npm imgdecode
- The Hacker News — AOMEI
- BleepingComputer — Candiru
