Vulnerability zero-day trong Iperius Backup 8.8.3 bị khai thác

INCIBE-CERT đã phát hiện một lỗ hổng zero-day trong phiên bản 8.8.3 của Iperius Backup, một phần mềm sao lưu cho Windows. Lỗ hổng này có mức độ nghiêm trọng cao và đã được Jonas Fernández phát hiện. Kẻ tấn công có thể sử dụng lỗ hổng này để nâng cấp quyền truy cập và chiếm quyền kiểm soát hệ thống Windows.

Nội dung chính

• Iperius Backup 8.8.3 có lỗ hổng zero-day (CVE-2026-112174)
• Lỗ hổng này có CVSS v4.0 là 9.3
• Jonas Fernández phát hiện lỗ hổng này
• Hãng Enter đã phát hành bản vá 8.8.9

Chi tiết sự việc

INCIBE-CERT đã phối hợp công bố một lỗ hổng nghiêm trọng trong Iperius Backup 8.8.3, một phần mềm sao lưu cho Windows. Jonas Fernández là người phát hiện lỗ hổng này. Lỗ hổng này được đánh giá với CVSS v4.0 là 9.3, thuộc loại lỗ hổng CWE-250.

Theo Enter, phiên bản 8.8.9 đã được cập nhật để khắc phục lỗ hổng này. Khi cài đặt dịch vụ, phiên bản này áp dụng các quyền hạn hạn chế mặc định, ngăn chặn việc sử dụng lỗ hổng.

Lỗ hổng này xuất phát từ việc phân cách không đủ giữa giao diện đồ họa chạy với quyền cao và người dùng địa phương có quyền thấp. Khi cài đặt dịch vụ sao lưu để chạy với quyền quản trị, một người dùng địa phương có quyền thấp có thể sử dụng các đối thoại Windows nativ để chạy các chương trình có quyền cao.

Điều này cho phép người dùng thực thi các lệnh với quyền SYSTEM hoặc quản trị viên, tùy thuộc vào ngữ cảnh của ứng dụng, và gây ra sự cố trên hệ thống Windows bị ảnh hưởng.

Enter đã đăng ký bản ghi thay đổi cho phiên bản 8.8.9, trong đó nêu rõ việc áp dụng các quyền hạn hạn chế mặc định.

Khuyến nghị

• Cập nhật Iperius Backup lên phiên bản 8.8.9 ngay lập tức.
• Kiểm tra và áp dụng các quyền hạn hạn chế mặc định khi cài đặt dịch vụ.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn INCIBE-CERT (Tây Ban Nha). Vui lòng đối chiếu bài gốc trước khi sử dụng.