I. Các lỗ hổng bảo mật được công bố trong tháng 07

1. Microsoft July 2026 Patch Tuesday khắc phục 3 lỗ hổng zero-days và 570 lỗ hổng bảo mật

Hôm nay là bản cập nhật Patch Tuesday tháng 7 năm 2026 của Microsoft, với các bản cập nhật bảo mật cho 570 lỗ hổng, bao gồm 1 lỗ hổng zero-day đã được công bố công khai và 2 lỗ hổng đang bị khai thác tích cực trong các cuộc tấn công.

Bản vá Patch Tuesday lần này giải quyết 59 lỗ hổng "Nghiêm trọng" (Critical), trong đó:

• 48 lỗ hổng thực thi mã từ xa (Remote Code Execution - RCE
• 9 lỗ hổng leo thang đặc quyền (Elevation of Privilege)
• 1 lỗ hổng tiết lộ thông tin (Information Disclosure)
• 1 lỗ hổng giả mạo (Spoofing)

Số lượng lỗi trong từng danh mục lỗ hổng được liệt kê dưới đây:

• 254 lỗ hổng Leo thang Đặc quyền (Elevation of Privilege)
• 17 lỗ hổng Vượt qua Tính năng Bảo mật (Security Feature Bypass)
• 145 lỗ hổng Thực thi Mã từ xa (Remote Code Execution)
• 102 lỗ hổng Tiết lộ Thông tin (Information Disclosure)
• 35 lỗ hổng Từ chối Dịch vụ (Denial of Service)
• 16 lỗ hổng Giả mạo (Spoofing)

Khi BleepingComputer thống kê các bản vá Patch Tuesday, họ chỉ tính các bản vá được Microsoft phát hành trong ngày hôm nay.

Do đó, thống kê này không bao gồm các lỗ hổng đã được Microsoft vá trước đó trong tháng đối với các sản phẩm như Mariner, Azure OpenAI, Azure Synapse, Microsoft 365 Copilot, Microsoft Exchange Online, Microsoft Edge for Android và Microsoft Entra Provisioning Service.

Ngoài ra, trong tháng này Google cũng đã vá 468 lỗ hổng liên quan đến Microsoft Edge/Chromium, nhưng các lỗ hổng này không được đưa vào thống kê Patch Tuesday. Trước đó, trong Patch Tuesday tháng 6, Google cũng đã vá 360 lỗ hổng, sau đó các bản vá này được tích hợp vào Microsoft Edge.

Tuần trước, Microsoft cho biết số lượng bản vá Patch Tuesday sẽ tiếp tục tăng do hãng đã bắt đầu sử dụng hệ thống phát hiện lỗ hổng dựa trên trí tuệ nhân tạo (AI) nhằm tìm kiếm nhiều lỗ hổng hơn trong mã nguồn Windows trước khi chúng bị tin tặc khai thác.

Để biết thêm về các bản cập nhật không liên quan đến bảo mật được phát hành hôm nay, người dùng có thể tham khảo các bài viết riêng về các bản cập nhật tích lũy Windows 11 KB5101650 và KB5099414, cùng bản cập nhật bảo mật mở rộng Windows 10 KB5099539.

Microsoft vá 3 lỗ hổng zero-day

Bản cập nhật Patch Tuesday tháng này khắc phục 3 lỗ hổng zero-day, với 1 lỗ hổng đã được công bố công khai và 2 lỗ hổng đang bị khai thác trong các cuộc tấn công.

Microsoft phân loại một lỗ hổng zero-day là đã bị công bố công khai hoặc đang bị khai thác tích cực khi chưa có bản vá chính thức nào được phát hành.

Các lỗ hổng zero-day được giải quyết trong bản cập nhật Patch Tuesday tháng này bao gồm:

• CVE-2026-56155 (Active Directory Federation Services - AD FS) – Đang bị khai thác: Lỗ hổng leo thang đặc quyền trong Active Directory Federation Services (AD FS). Do cơ chế kiểm soát truy cập không đủ chặt chẽ, kẻ tấn công đã được cấp quyền có thể leo thang lên quyền quản trị (Administrator) trên hệ thống cục bộ. Microsoft chưa công bố chi tiết phương thức khai thác.
• CVE-2026-56164 (Microsoft SharePoint Server) – Đang bị khai thác: Lỗ hổng leo thang đặc quyền trong Microsoft SharePoint Server do thiếu cơ chế xác thực đối với một chức năng quan trọng. Kẻ tấn công không cần xác thực có thể khai thác qua mạng để giành quyền đặc quyền cao hơn trên máy chủ SharePoint. Microsoft khuyến nghị bật Antimalware Scan Interface (AMSI) và đặt Request Body Scan mode ở chế độ Full để giảm thiểu rủi ro.
• CVE-2026-50661 (Windows BitLocker): Lỗ hổng vượt qua cơ chế bảo vệ của Windows BitLocker. Kẻ tấn công có quyền truy cập vật lý vào thiết bị có thể bỏ qua tính năng mã hóa BitLocker trên ổ đĩa hệ thống và truy cập dữ liệu đã được mã hóa. Lỗ hổng này đã được công khai trước khi Microsoft phát hành bản vá.

Các nhà cung cấp khác cũng đã phát hành các bản cập nhật hoặc advisory trong tháng 7/2026, bao gồm:

• Adobe đã phát hành bản vá cho bảy lỗ hổng nghiêm trọng nhất (CVSS tối đa) trong ColdFusion và Campaign, trong đó có lỗ hổng CVE-2026-48282 của ColdFusion. Lỗ hổng này sau đó đã bị tin tặc khai thác trong các cuộc tấn công thực tế.
• BeyondTrust đã phát hành bản cập nhật bảo mật để khắc phục hai lỗ hổng nghiêm trọng cho phép bỏ qua cơ chế xác thực trong các sản phẩm Remote Support (RS) và Privileged Remote Access (PRA).
• Cisco đã phát hành các bản cập nhật bảo mật cho nhiều sản phẩm, bao gồm Cisco Identity Services Engine (ISE), Catalyst Center và ClamAV. Cisco cũng xác nhận rằng CVE-2026-20230, được vá vào tháng 6, đã bị khai thác trong các cuộc tấn công thực tế.
• Fortinet đã phát hành các bản cập nhật bảo mật để khắc phục nhiều lỗ hổng trong các sản phẩm FortiOS, FortiSandbox, FortiPAM, FortiSASE và FortiProxy.
• Gitea đã phát hành bản cập nhật bảo mật để khắc phục lỗ hổng nghiêm trọng cho phép bỏ qua cơ chế xác thực trong Docker image của Gitea.
• Ivanti đã phát hành các bản cập nhật bảo mật để khắc phục hai lỗ hổng trong sản phẩm Ivanti Xtraction.
• Nhóm phát triển nhân Linux (Linux kernel maintainers) đã phát hành bản vá cho lỗ hổng Januscape. Lỗ hổng này cho phép kẻ tấn công thoát khỏi máy ảo (VM Escape) và thực thi mã tùy ý trên máy chủ (host).
• NVIDIA đã phát hành các bản cập nhật bảo mật cho NVIDIA Triton Inference Server và NVIDIA TensorRT-LLM.
• Progress Software đã phát hành bản cập nhật để khắc phục lỗ hổng zero-day mức độ nghiêm trọng cao dạng Path Traversal. Lỗ hổng này là nguyên nhân khiến ShareFile Storage Zone Controllers phải ngừng hoạt động khẩn cấp vào tuần trước.
• Ubiquiti đã phát hành các bản cập nhật bảo mật cho UniFi OS, bao gồm một lỗ hổng có mức độ nghiêm trọng tối đa có thể bị khai thác trong các cuộc tấn công Command Injection.
• Nhóm phát triển U-Boot đã phát hành các bản vá để khắc phục những lỗ hổng mới có thể tạo điều kiện cho các cuộc tấn công âm thầm vào firmware.
• SAP đã phát hành bản cập nhật bảo mật tháng 7, bao gồm các bản vá cho bốn lỗ hổng nghiêm trọng trong NetWeaver, Commerce Cloud và AppRouter.
• VMware đã phát hành các bản cập nhật bảo mật cho VMware Avi Load Balancer, bao gồm các lỗ hổng bỏ qua cơ chế xác thực và thực thi mã từ xa (Remote Code Execution - RCE).
• Zimbra đã phát hành bản cập nhật bảo mật để khắc phục lỗ hổng Cross-Site Scripting (XSS) nghiêm trọng, ảnh hưởng đến Classic Web Client trong bộ giải pháp Zimbra Collaboration.

Dưới đây là danh sách đầy đủ các lỗ hổng đã được giải quyết trong các bản cập nhật Patch Tuesday tháng 07 năm 2026.

🔗  Chi tiết về từng loại lỗ hổng và bản vá có thể xem thêm tại Tuesday Patch, paper. 

2. Linux công bố các lỗ hổng trong tháng 07 

🔗 Chi tiết về các lỗ hổng có thể xem tại Advisories.  

3. VMware công bố các lỗ hổng trong tháng 07

 II. Một số sự kiện an ninh mạng đáng chú ý

1. Kho lưu trữ mô hình AI lớn nhất thế giới Hugging Face bị tấn công bởi một tác nhân AI tự động

Nền tảng chia sẻ mô hình AI mã nguồn mở Hugging Face xác nhận đã bị xâm nhập bởi một hệ thống tác nhân AI tự động (autonomous AI agent). Kẻ tấn công khai thác hai lỗ hổng thực thi mã trong quy trình xử lý tập dữ liệu để chiếm quyền trên các máy xử lý, sau đó leo thang đặc quyền, thu thập thông tin xác thực đám mây và di chuyển ngang sang nhiều cụm hạ tầng nội bộ. Hugging Face cho biết không có bằng chứng cho thấy các mô hình, bộ dữ liệu công khai hoặc chuỗi cung ứng phần mềm của nền tảng bị sửa đổi.

Sau sự cố, Hugging Face đã vá các lỗ hổng, thu hồi và thay thế toàn bộ thông tin xác thực bị ảnh hưởng, xây dựng lại các nút bị xâm nhập, đồng thời tăng cường cơ chế giám sát và bảo vệ hạ tầng. Công ty cũng khuyến nghị người dùng xoay vòng (rotate) các access token và kiểm tra hoạt động tài khoản. Đáng chú ý, Hugging Face cho biết họ đã sử dụng mô hình GLM 5.2 của Z.ai để hỗ trợ điều tra số vì nhiều mô hình AI thương mại từ phương Tây từ chối phân tích các mẫu mã độc và lệnh tấn công do cơ chế an toàn được kích hoạt, qua đó nhấn mạnh nhu cầu các tổ chức cần chuẩn bị sẵn mô hình AI có thể triển khai nội bộ phục vụ công tác ứng cứu sự cố.

🔗 Thông tin chi tiết hơn: Dịch vụ sao lưu dữ liệu đám mây - FPT Cloud: Sao lưu và khôi phục dữ liệu tức thời, an toàn và toàn vẹn dữ liệu.

2. SleeperGem sử dụng ba gói RubyGems độc hại để tấn công máy của lập trình viên

Các nhà nghiên cứu bảo mật đã phát hiện một chiến dịch tấn công chuỗi cung ứng phần mềm mới mang tên SleeperGem, lợi dụng ba gói RubyGems độc hại để phát tán mã độc đến máy tính của lập trình viên. Trong đó, gói git_credential_manager giả mạo công cụ Git Credential Manager của Microsoft, còn hai gói Dendreo và fastlane-plugin-run_tests_firebase_testlab đã "ngủ đông" trong nhiều năm trước khi bị cập nhật phiên bản chứa mã độc. Sau khi được cài đặt, các gói này tải xuống payload giai đoạn hai từ máy chủ do kẻ tấn công kiểm soát, cài đặt cơ chế duy trì truy cập (persistence) và tránh thực thi trong môi trường CI/CD nhằm chỉ nhắm mục tiêu vào máy của nhà phát triển.

Mã độc tiếp tục thu thập thông tin hệ thống, kiểm tra quyền sudo và có thể leo thang đặc quyền lên root, đồng thời cài đặt shell có quyền setuid để duy trì quyền truy cập. Các chuyên gia khuyến nghị người dùng đã cài đặt các gói bị ảnh hưởng cần coi hệ thống và thông tin xác thực đã bị xâm phạm, gỡ bỏ các thành phần độc hại, kiểm tra dấu hiệu persistence và thay đổi toàn bộ thông tin đăng nhập. Sự việc cho thấy các tài khoản và gói phần mềm ít được duy trì trong kho mã nguồn mở có thể trở thành mục tiêu bị chiếm đoạt để thực hiện các cuộc tấn công chuỗi cung ứng.

🔗 Thông tin chi tiết hơn: Dịch vụ sao lưu dữ liệu đám mây - FPT Cloud: Sao lưu và khôi phục dữ liệu tức thời, an toàn và toàn vẹn dữ liệu.

Liên hệ với chúng tôi để được tư vấn:   

• Fanpage: https://www.facebook.com/fptsmartcloud/
• Email: support@fptcloud.com
• Hotline: 1900 638 399