Cảnh báo: Hai lỗ hổng nghiêm trọng trên Joomla đang bị khai thác dưới dạng Zero-day

Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) vừa đưa hai lỗ hổng bảo mật mức độ nghiêm trọng tối đa vào danh mục Các lỗ hổng bị khai thác (KEV). Hai lỗ hổng này ảnh hưởng trực tiếp đến các extension phổ biến trên nền tảng Joomla là iCagenda và Balbooa Forms, vốn đang bị tin tặc lợi dụng để thực hiện các cuộc tấn công zero-day.

Chi tiết về các lỗ hổng

• CVE-2026-48939 (iCagenda): Lỗ hổng cho phép kẻ tấn công tải lên các tệp tin tùy ý thông qua tính năng đính kèm, từ đó dẫn đến việc chèn và thực thi mã PHP độc hại. Theo các chuyên gia từ mySites.guru, lỗ hổng này đã bị khai thác từ ngày 15/6/2026 thông qua các kịch bản tự động nhắm vào tính năng “Submit an Event”.
• CVE-2026-56291 (Balbooa Forms): Lỗ hổng cho phép kẻ tấn công không cần xác thực (unauthenticated) tải lên tệp tin tùy ý, dẫn đến thực thi mã từ xa (RCE). Lỗ hổng này được phát hiện vào ngày 8/7/2026 sau khi một khách hàng bị tấn công trực tiếp.

Khuyến nghị cho quản trị viên

Các nhà phát triển đã phát hành bản vá cho cả hai lỗ hổng:

• iCagenda: Cập nhật lên phiên bản 4.0.8 hoặc 3.9.15. Người dùng nên kiểm tra thư mục images/icagenda/frontend/attachments/ để loại bỏ các tệp PHP nghi vấn.
• Balbooa Forms: Cập nhật lên phiên bản 2.4.1. Kiểm tra thư mục images/baforms/uploads và rà soát danh sách tài khoản quản trị để phát hiện các dấu hiệu xâm nhập bất thường.

Chiến dịch tấn công toàn cầu

Thông tin này được đưa ra trong bối cảnh Trung tâm An ninh mạng Úc (ACSC) cảnh báo về một chiến dịch tấn công toàn cầu nhắm vào nhiều hệ thống CMS và plugin khác nhau. Tin tặc đang tích cực quét các website để triển khai web shell, lợi dụng các lỗ hổng cho phép tải tệp tin không xác thực, RCE hoặc giả mạo yêu cầu phía máy chủ (SSRF). ACSC nhấn mạnh rằng việc ứng dụng AI đang giúp tin tặc đẩy nhanh tốc độ khai thác ngay sau khi lỗ hổng được công bố, gây áp lực lớn cho các đội ngũ an ninh mạng trong việc vá lỗi kịp thời.

Nguồn tham khảo: The Hacker News