Các bản cập nhật Firefox, Chrome, Adobe và VMware vá nhiều lỗ hổng nghiêm trọng
"Mozilla, Google, Adobe, and Broadcom released security updates to fix multiple critical vulnerabilities across Firefox, Chrome, Adobe ColdFusion/Commerce/Experience Manager/Illustrator, and VMware Avi Load Balancer. The flaws include publicly known-exploit Firefox bugs (CVE-2026-15718, CVE-2026-15719), Chrome Ozone use-after-free issues (CVE-2026-15764, CVE-2026-15765), several Adobe RCE-prone bugs, and a VMware Avi authentication bypass (CVE-2026-47865); no active exploitation was reported, and users are advised to update to the patched versions."
Nguy cơ cao do nhiều lỗi có thể dẫn đến RCE và bypass xác thực; đặc biệt đáng chú ý là CVE-2026-47865 (VMware Avi) và các lỗi use-after-free trong Chrome Ozone có thể bị khai thác từ xa qua nội dung web.
Tác động vận hành đáng kể vì ảnh hưởng đến nhiều lớp (trình duyệt, nền tảng ứng dụng web, và load balancer). Việc chậm cập nhật có thể làm tăng khả năng bị chiếm quyền hoặc truy cập trái phép vào hệ thống điều khiển, đặc biệt với VMware Avi Load Balancer.
Mozilla, Google, Adobe và Broadcom đã phát hành các bản vá nhằm khắc phục nhiều lỗ hổng bảo mật mức nghiêm trọng trên trình duyệt và phần mềm doanh nghiệp. Đáng chú ý, Mozilla cập nhật Firefox 152.0.6 để xử lý hai lỗi đã có mã khai thác công khai: CVE-2026-15718 (invalid pointer trong JavaScript: WebAssembly) và CVE-2026-15719 (site isolation trong DOM: Navigation). Mozilla cho biết chưa ghi nhận tấn công thực tế trong tự nhiên.
Về phía Google, bản cập nhật đã vá 15 lỗi, trong đó có hai use-after-free trong Ozone: CVE-2026-15764 và CVE-2026-15765. Theo mô tả NVD, CVE-2026-15764 có thể dẫn đến hỏng heap thông qua trang HTML được chế tạo, sau khi người dùng thực hiện các thao tác UI cụ thể. Các bản vá tương ứng được áp dụng trên Chrome 150.0.7871.124/.125 (Windows/Mac) và 150.0.7871.124 (Linux).
Adobe cũng phát hành cập nhật cho 88 lỗ hổng, gồm nhiều lỗi có thể dẫn đến RCE trên Adobe ColdFusion (ví dụ CVE-2026-48318 và CVE-2026-48322) và các sản phẩm như Adobe Commerce/Magento Open Source và Adobe Experience Manager. Broadcom đã vá VMware Avi Load Balancer với CVE-2026-47865 (bypass xác thực, CVSS 9.8), có thể cho phép truy cập Avi Control plane từ kẻ tấn công có quyền mạng. Khuyến nghị: ưu tiên cập nhật lên phiên bản đã vá và rà soát phạm vi ảnh hưởng theo danh mục CVE.