Lỗ hổng Zero-day, phân tích CVE, PoC và cảnh báo bản vá khẩn cấp
Một lỗ hổng zero-day nghiêm trọng trong Arista EOS đã được phát hiện, có thể dẫn đến việc thực thi mã độc hại. Joshua Foote từ JP Morgan Chase đã báo cáo về vấn đề này. Lỗ hổng này ảnh hưởng đến các phiên bản từ 4.33.10M đến 4.36.2F. Arista đã phát hành bản vá cho các phiên bản 4.37.0F, 4.36.3M, 4.35.7M, 4.34.9M và 4.33.11M.
Apache HTTP Server 2.4.55 đến 2.4.70 với mod_http2, 2.0.8 đến 2.0.42 của mod_h2, 2.4.30 đến 2.4.70 với mod_md, và 2.4.69, 2.4.70 với mod_vhost_alias đều có lỗ hổng. Lỗ hổng CVE-2026-119618 có thể cho phép thực thi mã remoto. Apache HTTP Server 2.4.71 đã vá 3 lỗ hổng, trong đó có 1 lỗ hổng nghiêm trọng.
Mitel đã công bố 3 lỗ hổng trong MiVoice MX-ONE, từ phiên bản 8.0 đến 8.2 SP1. Lỗ hổng nghiêm trọng nhất có thể cho phép kẻ tấn công truy cập quản trị và thực thi lệnh.Mitel đã phát hành bản vá cho các phiên bản từ 8.2 SP0 và 8.2 SP1.
INCIBE-CERT đã cảnh báo về một lỗ hổng nghiêm trọng trong WhatsApp for Dolibarr, phiên bản 1.9. Kẻ tấn công có thể khai thác lỗ hổng này để truy cập dữ liệu từ cơ sở dữ liệu.
Node.js đã phát hành bản vá cho 16 lỗ hổng, trong đó có hai lỗi HTTP/2 có thể khiến server sập và tiết lộ thông tin của các kết nối khác. Các phiên bản được sửa lỗi đã được phát hành cho các dòng 22.23.5, 24.22.3 và 26.13.1.
Một lỗ hổng an ninh trong hệ điều hành Android có thể biến việc cài đặt ứng dụng thông thường thành một vấn đề khôi phục nghiêm trọng, khiến điện thoại mắc kẹt trong chu trình khởi động lại.
Lỗ hổng điểm CVSS 10.0 trong tính năng GlobalProtect của PAN-OS cho phép thực thi lệnh với quyền root trên tường lửa. Palo Alto Networks đã phát hành hotfix.
Một lỗ hổng nghiêm trọng trong mod_http2 của Apache HTTP Server có thể cho phép kẻ tấn công không xác thực thực thi mã trên máy chủ. Lỗ hổng này ảnh hưởng đến các phiên bản từ 2.4.55 đến 2.4.70 và đã được khắc phục trong phiên bản 2.4.71 được phát hành hôm qua.
ConnectWise đã khóa 5 extensions thứ ba sau khi báo cáo về truy cập không được phê duyệt. Công ty cho biết không có bằng chứng cho thấy sự cố liên quan đến sự xâm phạm cơ sở hạ tầng của họ hoặc lỗ hổng trong phần mềm ScreenConnect.
eMudhra đổ lỗi cho một script Python chứa lỗi đã gây ra việc phát hành chứng chỉ số kém. Do hạn chế cung ứng, công ty đã sử dụng HSM của Utimaco để tạo khóa và chuyển chúng sang HSM của Crypto4A. Tuy nhiên, script chứa lỗi đã làm cho các khóa chỉ còn 1 byte, gây ra sự cố đáng tiếc.
