Tên miền CDN bị đăng ký lại, nhiều website vẫn còn gọi tới
"The article describes an abandoned CDN domain that was re-registered and now resolves under wildcard DNS controlled by a new owner, while thousands of sites still reference it in hard-coded third-party script URLs. It highlights the risk of client-side supply-chain abuse, referencing the polyfill.io takeover and a September 2026 campaign where CSP reports exposed compromised e-commerce pages delivering ClickFix-style payloads; the recommended mitigation is to deploy Content Security Policy in report-only mode, maintain a script inventory, and enforce PCI DSS v4.0.1 requirements 6.4.3 and 11.6.1 for payment pages."
Rủi ro chiếm quyền phân phối nội dung phía client, tiêm mã độc qua script bên thứ ba, và khó phát hiện bằng quét phía máy chủ.
Có thể ảnh hưởng đến website thương mại điện tử, làm tăng rủi ro tuân thủ PCI DSS, và phát sinh chi phí rà soát, thay thế script.
Một tên miền CDN từng bị bỏ quên đã được đăng ký lại và hiện phân giải qua wildcard DNS do chủ sở hữu mới kiểm soát. Vấn đề là hàng nghìn website, kho mã nguồn và trang tài liệu vẫn còn tham chiếu cứng tới các hostname dưới tên miền này trong script bên thứ ba. Điều đó khiến nội dung được tải về có thể thay đổi mà phía vận hành không nhận ra ngay.
Bài viết nhấn mạnh đây là rủi ro điển hình của client-side supply chain: mã độc hoặc nội dung không mong muốn không nằm trên máy chủ của tổ chức, mà xuất hiện khi trình duyệt người dùng tải script từ một miền bên ngoài. Tình huống này tương tự vụ polyfill.io trước đây, khi một script phổ biến đổi chủ và bắt đầu phục vụ nội dung khác.
Khuyến nghị kỹ thuật là triển khai Content Security Policy (CSP) ở chế độ Report-Only để thu thập dữ liệu mà không chặn lưu lượng, lập inventory script đầy đủ, và theo dõi thay đổi theo thời gian. Với trang thanh toán, cần đáp ứng PCI DSS v4.0.1 theo các yêu cầu 6.4.3 và 11.6.1, bao gồm ủy quyền script, kiểm tra toàn vẹn và cơ chế cảnh báo khi nội dung trang thanh toán bị sửa đổi trái phép.