Tổng hợp ThreatsDay: chiếm quyền cloud bucket, chuỗi LPE trên Windows và nhiều chiến dịch lừa đảo
"The article is a roundup of multiple cybersecurity incidents and vulnerabilities, including cloud bucket hijacking, malicious npm/PyPI typosquats, phishing-led malware delivery, and several Windows privilege escalation and driver flaws. Notable CVEs mentioned include CVE-2026-9181 in Esri ArcGIS Server and CVE-2025-49760/CVE-2025-59200 in Windows RPC and Data Sharing Service, with impacts ranging from unauthenticated file access to local privilege escalation; fixes include vendor patches, upgrades, and uninstalling affected software versions."
Tác động đáng kể do kết hợp truy cập không xác thực tới tệp nhạy cảm, khả năng LPE trên Windows và rủi ro từ typosquats chuỗi cung ứng. Điểm then chốt: CVE-2026-9181 (unauthenticated file access), CVE-2025-59200 (spoofing dẫn tới nâng đặc quyền), và chiến dịch phishing/remote control triển khai mã độc.
Nguy cơ gián đoạn vận hành và tổn thất dữ liệu/tài chính tăng do các kịch bản từ chiếm quyền hệ thống đến đánh cắp bí mật phát triển. Điểm then chốt: ảnh hưởng tới hệ thống có ArcGIS Server, rủi ro xâm nhập qua chuỗi cung ứng npm/PyPI, và khả năng lan truyền qua kênh Teams/RMM dẫn tới chiếm quyền thiết bị.
Bản tin ThreatsDay tổng hợp nhiều sự cố bảo mật và lỗ hổng đáng chú ý, trải rộng từ tấn công chuỗi cung ứng đến khai thác đặc quyền trên hệ điều hành.
Về tấn công chuỗi cung ứng, một cụm typosquats gồm 17 gói độc hại trên npm và PyPI được phát hiện giả mạo các SDK thanh toán (Paysafe, Skrill, Neteller). Mục tiêu là thu thập thông tin hệ thống và bí mật của nhà phát triển, sau đó exfiltrate về một endpoint. Kẻ tấn công cũng áp dụng cơ chế né phân tích dựa trên số CPU và chuỗi tên máy/tài khoản.
Ở phía lỗ hổng, CVE-2026-9181 trên Esri ArcGIS Server (REST Uploads) cho phép kẻ tấn công truy cập tệp nhạy cảm không cần xác thực thông qua tham số đường dẫn được chế tạo, với CVSS 9.8. Trên Windows, chuỗi khai thác đặc quyền liên quan CVE-2025-49760 (Windows RPC) và CVE-2025-59200 (Data Sharing Service) có thể dẫn tới LPE bằng cách giả mạo RPC server và kích hoạt tác vụ vượt cơ chế cô lập UI.
Ngoài ra, tin nhấn mạnh chiến dịch lừa đảo dùng phishing kết hợp cuộc gọi Microsoft Teams để triển khai EtherRAT, cùng các cảnh báo về thao tác tài khoản doanh nghiệp trên nền tảng mạng xã hội.
Khuyến nghị: ưu tiên cập nhật bản vá cho các thành phần liên quan CVE-2026-9181, CVE-2025-49760, CVE-2025-59200; rà soát phụ thuộc npm/PyPI để loại bỏ gói typosquat; siết quyền truy cập và giám sát lưu lượng/thiết bị đầu cuối trong mạng lõi; tăng kiểm soát quy trình cài đặt RMM/remote tool từ kênh không tin cậy.