BẢN TIN HÀNG NGÀY
Lỗ hổng thực thi mã từ xa Node2Shell, cảnh báo về lỗ hổng PHP chưa được vá và lỗi Python Pillow.
Bản tin hôm nay đề cập đến các rủi ro thực thi mã từ xa trong Node.js và Python Pillow, một bản vá lỗi cấu hình PHP chưa được sửa chữa, và một cửa hậu mạng lưới được sử dụng ở Ukraine.
5 tin tức4 phút đọc
Môi trường chạy ứng dụng web và các thư viện phụ thuộc phổ biến đang trở thành tâm điểm chú ý hiện nay, với các phương thức thực thi mã độc mới được chứng minh xuất hiện trên Node.js, PHP và thư viện xử lý hình ảnh Pillow của Python. Các tổ chức duy trì nền tảng web cần phải kiểm tra các thành phần máy chủ cốt lõi này và cập nhật kịp thời.
Đồng thời, các hoạt động tấn công mạng có chủ đích cho thấy các chiến thuật duy trì sự hiện diện ngày càng tinh vi. Các tác nhân đe dọa Sandworm và UAC-0099 đã sử dụng một cửa hậu mạng lưới dạng lưới mới cùng với các công cụ xóa dữ liệu, nhấn mạnh sự cần thiết phải giám sát các kênh chỉ huy và kiểm soát phi truyền thống trong cơ sở hạ tầng trọng yếu.
Lỗ hổng nghiêm trọng trong thư viện xử lý ảnh Pillow phổ biến của Python cho phép thực thi mã thông qua một ảnh được tạo sẵn.
Một lỗ hổng bảo mật nghiêm trọng trong thư viện Pillow của Python (CVE-2026-112900) cho phép thực thi mã từ xa khi xử lý ảnh EPS. Pillow truyền tên tệp cho Ghostscript mà không kiểm tra tính hợp lệ, cho phép chèn lệnh thông qua các tên tệp được tạo sẵn. Lỗ hổng này đã được khắc phục trong phiên bản Pillow 13.0.0.
- Tại sao điều này quan trọng
- Pillow được sử dụng rộng rãi trong các ứng dụng web, quy trình xử lý hình ảnh và các đường dẫn học máy, khiến các hệ thống xử lý hình ảnh không đáng tin cậy dễ bị tấn công thực thi lệnh.
Các hacker có liên hệ với Nga đã sử dụng cửa hậu mạng lưới Mesh mới trong một cuộc tấn công tàn phá ở Ukraine.
Nhóm tin tặc Sandworm do nhà nước Nga tài trợ đã hợp tác với UAC-0099 trong một cuộc tấn công phá hoại nhằm vào một công ty logistics của Ukraine. UAC-0099 đã triển khai phần mềm cửa hậu MATCHWOK và một phần mềm cửa hậu mạng lưới mới, MythicRatatoskr, liên lạc với nhau qua Yggdrasil trước khi chuyển giao quyền truy cập cho Sandworm để thực hiện việc xóa dữ liệu.
- Tại sao điều này quan trọng
- Kẻ tấn công đang sử dụng cơ sở hạ tầng C2 tiên tiến trên các mạng lưới dạng lưới như Yggdrasil để tránh bị phát hiện trước khi triển khai các công cụ xóa dữ liệu gây thiệt hại.
Các nhà nghiên cứu chứng minh lỗ hổng thực thi mã từ xa (RCE) Node2Shell trên bản dựng Node.js sử dụng dữ liệu Brotli được tạo sẵn.
Các nhà nghiên cứu đã chứng minh một lỗ hổng thực thi mã từ xa Node2Shell hoạt động hiệu quả trên các bản dựng Node.js 24.22.0 Linux arm64 chính thức. Lỗ hổng này nhắm vào điểm yếu của bộ giải mã Brotli (CVE-2026-111497) bằng cách truyền dữ liệu nén độc hại để chạy mã tùy ý. Các phiên bản đã được sửa lỗi, bao gồm Node.js 24.22.1, đã từ chối payload này.
- Tại sao điều này quan trọng
- Các ứng dụng giải mã dữ liệu nén Brotli không đáng tin cậy bằng cách sử dụng các bản dựng Node.js dễ bị tổn thương có nguy cơ bị thực thi mã từ xa.
PHP cảnh báo về một lỗ hổng thực thi mã từ xa (RCE) chưa được vá lỗi khác, hai ngày sau khi tung ra các bản vá khẩn cấp cho PHP2Shell.
PHP đã cảnh báo về lỗ hổng CVE-2026-115560, một lỗ hổng thực thi mã từ xa (RCE) chưa được vá, ảnh hưởng đến các thiết lập có session.serialize_handler được đặt thành php_binary hoặc php_serialize. Cảnh báo này được đưa ra sau các bản vá khẩn cấp cho CVE-2026-109618 và CVE-2026-109619. PHP hiện không phát hành bản vá khẩn cấp và khuyến cáo nên tắt tính năng theo dõi tiến trình tải lên phiên.
- Tại sao điều này quan trọng
- Các ứng dụng web với các tùy chọn cấu hình phiên PHP cụ thể vẫn dễ bị tấn công thực thi mã từ xa cho đến khi cập nhật định kỳ tiếp theo.
HPE vá tám lỗ hổng AOS nghiêm trọng nhất liên quan đến thực thi mã từ xa (RCE) và bỏ qua xác thực.
Trang xác minh của BleepingComputer hiển thị một thử thách bảo mật của Cloudflare, ngăn cản việc truy xuất thông tin chi tiết về bản vá lỗi của HPE đối với các lỗ hổng AOS.
Điểm chính
- Cập nhật Node.js lên phiên bản 24.22.1 để ngăn chặn việc thực thi mã từ xa thông qua lỗ hổng bộ giải mã Brotli CVE-2026-111497.
- Các tác nhân có liên hệ với Nga đã sử dụng phần mềm độc hại MythicRatatoskr để liên lạc qua mạng lưới Yggdrasil trước khi thực hiện cuộc tấn công xóa dữ liệu.