Lỗ hổng Zero-day, phân tích CVE, PoC và cảnh báo bản vá khẩn cấp
N-able công bố khai thác lỗ hổng nghiêm trọng trong N-central, nền tảng quản lý và giám sát từ xa. N-able phát hành bản vá khẩn cấp để khắc phục 33 vấn đề, trong đó có lỗ hổng code thực thi không xác nhận và nâng quyền lên root. Khách hàng được khuyên nên giữ N-central offline và cập nhật ngay bản vá mới.
Bài viết cho thấy MDR có thể tạo ra nhiều báo động nhưng không hỗ trợ hiệu quả cho đội ngũ phân tích. Điều này dẫn đến việc đội ngũ phải làm nhiều công việc mà MDR có thể đã xử lý từ đầu.
datadog cho biết ai đang sử dụng công nghệ trí tuệ nhân tạo để tăng cường tác động của các lỗ hổng, thông tin đăng nhập dài hạn và các nguy cơ khác trong cloud. số lượng lỗ hổng cloud đã tăng bốn lần trong thời gian dưới một năm.
Microsoft đã công bố CVE-2026-109469, một lỗ hổng nâng quyền truy cập độc hại trong dịch vụ Entra Device Registration. Lỗ hổng này có điểm CVSS 10, cho phép kẻ tấn công không xác thực khai thác qua mạng mà không cần tương tác của người dùng. Microsoft đã khắc phục hoàn toàn vấn đề này trong dịch vụ và không có hành động nào cho khách hàng.
Google đã phát hành bản vá cho lỗ hổng zero-day thứ 8 trong Chrome năm 2026, tương đương với tổng số lỗ hổng bị khai thác trong cả năm 2025. Lỗ hổng mới được gọi là CVE-2026-125350 và là một lỗi use-after-free trong phần xử lý XML của Chrome. Google chưa tiết lộ thông tin về nhóm tấn công hoặc mục tiêu.
Google đã phát hành bản cập nhật cho Chrome để修补一个零日漏洞，该漏洞已被利用。更新将在未来几天和几周内分发。香港的计算机紧急响应小组 (HKCERT) 将整体风险评估为“极高”。更新包括九个安全修复，其中一个是针对零日漏洞的修复。
Trong hơn hai thập kỷ, CISA công bố báo cáo tuần về các lỗ hổng mới được phát hiện, mã CVE, điểm đánh giá độ nghiêm trọng và mô tả ngắn gọn. Tuy nhiên, từ ngày 28/9/2026, CISA đã ngừng công bố báo cáo này và chuyển sang tập trung vào việc ngăn chặn việc khai thác lỗ hổng.
Microsoft đã phát hiện một lỗi an ninh trong Rust's standard library, tồn tại trong gần 11 năm. Lỗi này liên quan đến hàm process::exit và có thể dẫn đến sự cố phân vùng nếu-main thread gặp tràn bộ nhớ. Nghiên cứu cũng tìm thấy các vấn đề khác trong mã không an toàn của Rust, ảnh hưởng đến cả phiên bản ổn định của Rust.
Một kẻ tấn công đã lợi dụng IAM roles của AWS để truy cập nhiều khách hàng, truy xuất dữ liệu và thu thập thông tin tài khoản. Kẻ tấn công đã sử dụng thông tin tài khoản AWS của Qubole để giả vờ là các vai trò trong môi trường khách hàng. Kẻ tấn công đã thu thập thông tin từ S3, Secrets Manager và Lambda function.
Một lỗ hổng mới trong OpenSSH, được gọi là *sshole, cho phép kẻ tấn công đăng nhập vào các tài khoản Linux musl-based bằng mật khẩu dài hơn 256 byte, ngay cả khi mật khẩu được cài đặt để không chấp nhận.
