BẢN TIN HÀNG NGÀY
Lỗ hổng trong bộ giải mã Brotli gây ra lỗi thực thi mã từ xa (RCE) trong Node.js cũng ảnh hưởng đến Bun, Python và nhiều thư viện được sử dụng rộng rãi khác…
Bản tin hôm nay đề cập đến các lỗi lan rộng trong bộ giải mã Brotli, sự cố rò rỉ chuỗi cung ứng trong LiteLLM và các lỗ hổng bảo mật mới được CISA phát hiện.
5 tin tức5 phút đọc
Rủi ro trong chuỗi cung ứng phần mềm và các lỗ hổng cơ sở hạ tầng chưa được vá lỗi đang là những vấn đề nổi bật trong lĩnh vực an ninh mạng hiện nay. Các tổ chức dựa vào các thành phần mã nguồn mở và thiết bị doanh nghiệp đang phải đối mặt với các nhiệm vụ bảo trì cấp bách.
Đầu tiên, lỗ hổng làm hỏng bộ nhớ trong bộ giải mã Brotli của Google ảnh hưởng đến các hệ sinh thái phần mềm được sử dụng rộng rãi, bao gồm Node.js, Bun, Python và Envoy. Đồng thời, CISA đã bổ sung các lỗ hổng đang bị khai thác tích cực trong Collabora Online và Arista VeloCloud Orchestrator vào danh mục Lỗ hổng đã bị khai thác (Known Exploited Vulnerabilities) của mình.
Các nhóm bảo mật nên ngay lập tức kiểm tra các bí mật bị lộ trong kho lưu trữ của nhà phát triển, áp dụng các bản vá lỗi của nhà cung cấp cho các hệ thống biên được liệt kê trong danh mục của CISA và cập nhật các phụ thuộc của Brotli trên tất cả các môi trường.
Khóa chính LiteLLM bị rò rỉ cho phép kẻ tấn công đánh cắp mã thông báo GitHub và chiếm quyền kiểm soát quy trình phát hành.
Vào cuối tháng 5 năm 2026, một khóa chính của Nền tảng Agent đã bị rò rỉ trong kho lưu trữ GitHub công khai (LiteLLM-Labs/lite-harness) cho phép kẻ tấn công đánh cắp mã thông báo GitHub. Sau đó, kẻ tấn công đã sử dụng quyền truy cập bị đánh cắp để chiếm quyền kiểm soát quy trình phát hành của LiteLLM và xuất bản một phiên bản độc hại của gói Python.
- Nên làm gì
- Xoay vòng các khóa API và mã thông báo GitHub bị lộ, kiểm tra quy trình phát hành CI/CD và xác minh tính toàn vẹn của gói LiteLLM.
CISA cảnh báo hai lỗ hổng nghiêm trọng đang bị khai thác tích cực trong Collabora Online và Arista VeloCloud.
CISA đã bổ sung CVE-2026-110447 trong Collabora Online Built-in CODE Server và CVE-2026-114625 trong Arista VeloCloud Orchestrator vào danh mục các lỗ hổng đã bị khai thác (Known Exploited Vulnerabilities) sau khi phát hiện các lỗ hổng này đang được khai thác trên thực tế. Các lỗ hổng này cho phép tấn công chèn lệnh hệ điều hành và tấn công chèn SQL.
- Nên làm gì
- Cập nhật CODE Server tích hợp sẵn trong Collabora Online lên phiên bản 26.4.303 trở lên và áp dụng các bản vá cho Arista VeloCloud Orchestrator.
Lỗ hổng trong bộ giải mã Brotli gây ra lỗ hổng thực thi mã từ xa (RCE) trong Node.js cũng ảnh hưởng đến Bun, Python và nhiều phần mềm được sử dụng rộng rãi khác.
Một lỗi hỏng bộ nhớ trong bộ giải mã Brotli của Google tồn tại trong nhiều chương trình giải nén dữ liệu được nén bằng Brotli, trong đó có Bun, các gói Python Brotli và brotlicffi, và các máy chủ proxy Envoy được thiết lập để giải nén Brotli.
- Tại sao điều này quan trọng
- Vì mỗi ứng dụng bị ảnh hưởng đều tích hợp bản sao riêng của bộ giải mã Brotli của Google, nên các tổ chức dựa vào các môi trường chạy và máy chủ proxy này phải theo dõi và áp dụng các bản cập nhật riêng của nhà cung cấp để ngăn chặn việc thực thi mã.
- Nên làm gì
- Cập nhật các môi trường chạy và gói bị ảnh hưởng, bao gồm Bun, Envoy và các phụ thuộc Python Brotli, lên các phiên bản đã được vá lỗi.
Google cho biết dữ liệu Gmail và Photos được chia sẻ với AI Search có thể được sử dụng cho quảng cáo nhắm mục tiêu.
Google đã cập nhật chính sách bảo mật của mình có hiệu lực từ ngày 16 tháng 10 năm 2026, làm rõ rằng dữ liệu được chia sẻ từ Google Photos, Gmail và Drive với các tính năng AI trong Tìm kiếm hoặc Ứng dụng Gemini có thể được xử lý để cung cấp quảng cáo nhắm mục tiêu.
- Tại sao điều này quan trọng
- Người dùng và tổ chức tích hợp dữ liệu cá nhân hoặc dữ liệu Workspace vào các tính năng Tìm kiếm của Google và Gemini AI có thể khiến nội dung từ Gmail, Ảnh và Drive bị nhắm mục tiêu quảng cáo cá nhân hóa.
- Nên làm gì
- Kiểm tra lại cài đặt quyền riêng tư tài khoản Google để hạn chế việc chia sẻ dữ liệu giữa các ứng dụng Workspace và Tìm kiếm/Gemini.
Các nhà nghiên cứu đã tung ra hơn 2 triệu bản cập nhật để vô hiệu hóa từ xa trình cập nhật Popcorn Time, điều này có thể tạo điều kiện cho một mạng botnet.
Công ty an ninh mạng Eye Security của Hà Lan đã tiến hành Chiến dịch IXIM, phát hành hơn hai triệu bản cập nhật từ xa để vô hiệu hóa trình cập nhật nền dễ bị tổn thương (Updater.exe) trong ứng dụng Time4Popcorn đã bị bỏ rơi. Tên miền chưa đăng ký mà trình cập nhật truy vấn tiềm ẩn nguy cơ bị chiếm đoạt bởi một mạng botnet quy mô lớn.
- Nên làm gì
- Tìm kiếm và gỡ bỏ các phần mềm cũ không được phép sử dụng như Time4Popcorn và chặn kết nối đến các tên miền cập nhật chưa được xác minh.
Điểm chính
- Cập nhật các triển khai bộ giải mã Brotli trên Node.js, Bun, Python và Envoy để vá lỗi hỏng bộ nhớ CVE-2026-111497.
- Vá lỗi Collabora Online Built-in CODE Server (CVE-2026-110447) và Arista VeloCloud Orchestrator (CVE-2026-114625) theo cảnh báo của CISA.