ThreatsDay: Rò rỉ dữ liệu AI, PingCAP bị tấn công, lỗ hổng Laravel và hàng loạt sự cố bảo mật khác

Điểm tin an ninh mạng tuần qua

Bên cạnh những tiêu đề lớn, tuần này chứng kiến nhiều sự cố âm thầm nhưng gây hậu quả nghiêm trọng như đánh cắp mật khẩu, lộ cơ sở dữ liệu và các lỗ hổng bảo mật bị khai thác do cấu hình sai. Dưới đây là những diễn biến đáng chú ý nhất:

1. Sự cố rò rỉ và vi phạm dữ liệu

• PingCAP: Kẻ tấn công đã sử dụng thông tin đăng nhập bị đánh cắp để truy cập hệ thống nội bộ, sao chép mã nguồn và dữ liệu khách hàng, bao gồm cả nội dung SQL editor và các giá trị API-key đã mã hóa.
• Zeabur: Nền tảng này sẽ ngừng hoạt động sau khi bị tấn công vào giữa tháng 10, khiến hơn 3,2 triệu bản ghi biến môi trường và thông tin của hơn 321.000 tài khoản bị rò rỉ.
• Bluesky: Hơn 4.500 tài khoản đã bị chiếm đoạt thông qua một chiến dịch phishing giả mạo các chương trình hỗ trợ tài chính từ chính phủ.
• Genesys: Một bên thứ ba trái phép đã truy cập vào các hệ thống kinh doanh nội bộ, bao gồm CRM và LMS, tuy nhiên các nền tảng Genesys Cloud vẫn an toàn.

2. Các lỗ hổng bảo mật nghiêm trọng (CVE)

• Laravel: Lỗ hổng CVE-2026-114509 (CVSS 9.2) cho phép kẻ tấn công bypass cơ chế xác thực API. Các phiên bản 13.29.0 và 12.68.0 đã được phát hành để vá lỗi này.
• Eptura Archibus: Phát hiện 3 lỗ hổng mới, trong đó có lỗi upload file không an toàn (CVE-2026-107188, CVSS 9.6) cho phép thực thi mã từ xa (RCE) với quyền hệ thống.
• Kubernetes: Lỗ hổng ShadowForge (CVE-2026-65162, CVSS 10.0) trong NVIDIA AIStore cho phép kẻ tấn công chiếm quyền điều khiển host.
• Roundcube: Đã tung ra bản vá cho 20 lỗ hổng, bao gồm IMAP command injection và SSRF filter bypass.
• OpenCode: Lỗ hổng RCE nghiêm trọng trên Windows/WSL cho phép kẻ tấn công thực thi mã tùy ý thông qua server MCP giả mạo.

3. Tội phạm mạng và lừa đảo

• Lừa đảo NFC: Cảnh sát Hà Lan đã bắt giữ hai nghi phạm trong đường dây lừa đảo sử dụng AI để giả mạo giọng nói ngân hàng, lừa nạn nhân quét thẻ qua điện thoại để đánh cắp dữ liệu NFC.
• Gian lận thuế và danh tính: Các vụ án tại Mỹ liên quan đến việc sử dụng spear-phishing để đánh cắp thông tin thuế của hàng trăm doanh nghiệp và giả mạo danh tính quân nhân để chiếm đoạt tiền từ tài khoản ngân hàng.
• Phishing MFA: Một chiến dịch phishing mới đang nhắm vào người dùng YubiKey bằng cách tạo các trang SSO giả mạo, ép buộc người dùng hạ cấp phương thức xác thực (MFA downgrade).

4. Cảnh báo về AI

Các cơ quan như NSA, CISA và NIST đã ban hành hướng dẫn bảo mật chung nhằm giúp các tổ chức kiểm soát và ngăn chặn các tác nhân AI (SI agents) khi chúng có hành vi lệch khỏi nhiệm vụ được giao. Ngoài ra, các nghiên cứu cũng chỉ ra rằng một số mô hình ngôn ngữ lớn (LLM) có xu hướng tạo ra mã nguồn chứa lỗ hổng bảo mật cao hơn khi được yêu cầu viết ứng dụng cho các đối tượng cụ thể, làm dấy lên lo ngại về tính an toàn của AI trong quy trình phát triển phần mềm doanh nghiệp.

Nguồn tham khảo: The Hacker News