Adobe, Veeam và Juniper Networks phát hành bản vá cho hàng loạt lỗ hổng nghiêm trọng

Adobe, Veeam và Juniper Networks vừa đồng loạt phát hành bản vá khắc phục hơn 36 lỗ hổng bảo mật trên các sản phẩm của mình, trong đó có không ít lỗi ở mức độ nghiêm trọng cho phép kẻ tấn công thực thi mã tùy ý hoặc chiếm quyền điều khiển hệ thống.

Bản vá lỗ hổng phần mềm

Đợt cập nhật lần này một lần nữa cho thấy các sản phẩm doanh nghiệp đang là mục tiêu hấp dẫn với tội phạm mạng, và việc duy trì quy trình vá lỗi định kỳ là yêu cầu sống còn với mọi tổ chức.

Adobe vá 12 lỗ hổng, có 9 lỗi nghiêm trọng

Adobe đã khắc phục 12 lỗ hổng trong các sản phẩm Campaign Classic, Connect, Creative Cloud và Substance 3D Painter.

• Campaign Classic: bản cập nhật xử lý 8 lỗi mức nghiêm trọng, bao gồm tiêm mã và lệnh (code/command injection), phân quyền không đúng và các lỗi XSS.
• Adobe Connect cho desktop và mobile: một lỗi nghiêm trọng khác dẫn tới thực thi mã tùy ý đã được vá.
• Creative Cloud và Substance 3D Painter: các bản vá giải quyết lỗi mức cao và trung bình liên quan tới thực thi mã, leo thang đặc quyền và rò rỉ bộ nhớ.

Theo cảnh báo của Adobe, nếu bị khai thác thành công, các lỗ hổng này có thể dẫn tới thực thi mã tùy ý, vượt qua tính năng bảo mật và leo thang đặc quyền. Hãng cho biết chưa ghi nhận trường hợp nào bị khai thác trên thực tế.

Veeam sửa 9 lỗ hổng trong giải pháp sao lưu

Veeam tung bản vá cho 9 lỗ hổng trong Backup for Microsoft 365, Backup & Replication, Veeam ONE và Veeam Agent for Linux.

Đáng chú ý nhất là trong Backup for Microsoft 365, hãng khắc phục 4 lỗi, bao gồm một lỗi nghiêm trọng có thể cho phép kẻ tấn công đọc và ghi dữ liệu cấu hình giữa các tenant khác nhau, từ đó đạt được thực thi mã từ xa.

Trong Backup & Replication, Veeam vá một lỗi nghiêm trọng có thể cho phép kẻ tấn công chưa xác thực vượt qua cơ chế phân quyền. Các bản cập nhật còn lại xử lý những điểm yếu mức cao và trung bình như vượt xác thực REST API, đọc/ghi tệp tùy ý, leo thang đặc quyền cục bộ và vượt qua xác thực đa yếu tố (MFA).

Veeam cũng khẳng định chưa phát hiện dấu hiệu khai thác nào trong tự nhiên đối với các lỗ hổng này.

Juniper Networks vá 18 lỗ hổng trên router và conductor

Juniper Networks đã xử lý 18 lỗ hổng trong Session Smart Router và Session Smart Conductor, trong đó có hai lỗi nghiêm trọng cho phép thực thi lệnh tùy ý khi chưa xác thực và leo thang đặc quyền.

Ngoài ra, các lỗi mức cao cũng được khắc phục, gồm đọc/ghi/xóa tệp tùy ý, thực thi mã, leo thang đặc quyền, thực thi lệnh, rò rỉ thông tin và tấn công từ chối dịch vụ (DoS). Theo Juniper, các lỗ hổng này được phát hiện nội bộ và chưa có dấu hiệu bị khai thác.

Trong một thông báo riêng liên quan tới nhóm lỗ hổng PHP2Shell, hãng cho biết CVE-2026-109618 có ảnh hưởng tới Junos OS nhưng không theo cách có thể bị khai thác. Juniper cũng đã rà soát khoảng một chục sản phẩm khác và không phát hiện sản phẩm nào bị ảnh hưởng.

Minh họa an ninh mạng

Khuyến nghị cho người dùng và doanh nghiệp

Việc cập nhật bản vá không chỉ là trách nhiệm của đội ngũ IT mà còn là một phần trong chiến lược phòng thủ nhiều lớp của mỗi doanh nghiệp.

Đối với các tổ chức tại Việt Nam đang sử dụng hạ tầng của Juniper hoặc giải pháp sao lưu Veeam, việc kiểm tra phiên bản, lên lịch nâng cấp và rà soát cấu hình phân quyền nên được thực hiện càng sớm càng tốt. Các lỗi cho phép vượt xác thực và thực thi mã từ xa đặc biệt nguy hiểm khi thiết bị lộ diện trực tiếp ra Internet.

Bên cạnh đó, doanh nghiệp nên theo dõi sát các thông báo kỹ thuật từ nhà cung cấp, áp dụng nguyên tắc đặc quyền tối thiểu, bật xác thực đa yếu tố và thường xuyên sao lưu dữ liệu theo mô hình 3-2-1 để giảm thiểu thiệt hại nếu bị tấn công.