Tổng hợp an ninh tuần: VMware, Windows 0-day, macOS và GeoServer bị khai thác
"This weekly recap highlights multiple active exploitation campaigns, including a critical VMware vCenter directory-traversal flaw (CVE-2026-59310) used to deploy backdoors, reverse SSH access, and Babuk-derived ransomware, as well as a macOS Screen Sharing authentication flaw (CVE-2026-65400) abused to install a Monero miner. It also reports Lazarus Group exploiting a Windows privilege-escalation zero-day (CVE-2026-68820) to deliver new backdoors, alongside a critical GeoServer SQL injection issue patched after public exploitation."
Ảnh hưởng bảo mật rất cao do nhiều lỗ hổng đang bị khai thác thực tế, có thể dẫn đến chiếm quyền hệ thống, cài backdoor và mã hóa/che giấu dấu vết.
Tác động vận hành đáng kể vì có thể gây gián đoạn dịch vụ, rò rỉ dữ liệu, tăng chi phí xử lý sự cố và ảnh hưởng đến hệ thống quản trị hạ tầng.
Tuần này ghi nhận nhiều chiến dịch khai thác đang diễn ra trên diện rộng, tập trung vào VMware vCenter, Apple macOS, Microsoft Windows và GeoServer. Điểm đáng chú ý nhất là CVE-2026-59310 trên VMware vCenter với điểm CVSS 9.8, bị lợi dụng để triển khai backdoor, reverse SSH và cả ransomware có nguồn gốc từ Babuk. Ở phía macOS, lỗ hổng CVE-2026-65400 trong Screen Sharing cũng bị khai thác để cài Monero miner, đặc biệt trên các hệ thống có cổng 5900 mở ra Internet.
Ngoài ra, nhóm Lazarus Group được cho là đã khai thác CVE-2026-68820 trên Windows AFD.sys để phát tán backdoor Troy và ForestTiger trong chiến dịch Operation Dream Job. GeoServer cũng đã phát hành bản vá cho một lỗi SQL injection nghiêm trọng có thể dẫn đến remote code execution, sau khi ghi nhận khai thác công khai chỉ trong vài giờ.
Khuyến nghị: ưu tiên vá ngay, rà soát dịch vụ quản trị lộ Internet, kiểm tra dấu hiệu backdoor, miner và kết nối reverse SSH, đồng thời tăng giám sát nhật ký, cô lập hệ thống nghi nhiễm và xác minh lại quyền truy cập quản trị.