Bản tin bảo mật ngày 20/09/2026: RCE, Linux kernel và rủi ro AI agent

Bản tin bảo mật sáng nay

Ngày: 20/09/2026

Orkes Conductor: Fortinet cho biết CVE-2026-58138 là RCE pre-auth đang bị khai thác; CVSS v3.1 9.8 (v4: 9.3). Nguồn.
SolarWinds ARM: bản vá cho CVE-2026-28326 (CVSS 8.8), lỗi hard-coded key có thể dẫn tới RCE không cần xác thực. Nguồn.
Linux kernel: CISA được The Hacker News dẫn lại đã thêm ba lỗi kernel vào KEV vì có bằng chứng khai thác thực tế; một báo cáo khác nêu mã khai thác công khai cho bốn lỗi leo thang đặc quyền cục bộ đã được vá. KEV · Public exploit.
AI browser agent: PoC BragJack cho thấy một extension độc hại có thể chiếm quyền trợ lý AI trên nhiều trình duyệt qua prompt forcing; nghiên cứu nêu hai CVE. Nguồn.
WordPress: WordPress đã phát hành bản vá cho nhóm lỗi core, trong đó Click2Shell có thể khiến quản trị viên đã đăng nhập cài theme từ WordPress.org qua liên kết được chế tạo và có thể nối chuỗi tới thực thi mã. Nguồn.
WaterPlum: cảnh báo phối hợp thực thi pháp luật nói nhóm liên quan Triều Tiên đã xâm phạm ít nhất 30.000 thiết bị toàn cầu trong giai đoạn 12/2025–07/2026 và chuyển hơn 10,7 triệu USD tiền mã hóa bị đánh cắp. Nguồn.

Orkes Conductor / CVE-2026-58138: cô lập hoặc hạn chế truy cập Internet đến dịch vụ, áp dụng bản vá/biện pháp khắc phục của nhà cung cấp ngay vì nguồn xác nhận khai thác thực tế.
SolarWinds Access Rights Manager / CVE-2026-28326: cập nhật bản sửa lỗi; rà soát các instance phơi Internet do nguy cơ RCE không cần xác thực.
Linux kernel: triển khai kernel đã vá theo kênh phân phối, ưu tiên máy chủ đa người dùng; giảm quyền local không cần thiết trong thời gian chờ reboot.
WordPress core: cập nhật core, rà soát quyền admin và nhật ký cài theme; cảnh giác liên kết hướng tới tài khoản quản trị đang đăng nhập.

Ghi chú: truy vấn trực tiếp CISA KEV bị 403 trong lần thu thập này; thông tin KEV ở trên được nêu theo nguồn báo cáo đã thu thập.