23/09/2026 · VietTechies · Biên tập
Một tác nhân đe dọa nói tiếng Trung đã khai thác lỗ hổng trên WordPress, switch ZyXEL GS1900 và nhiều công nghệ doanh nghiệp khác, và được cho là đã truy cập ít nhất 18.566 bản ghi của một cơ quan chính phủ phương Tây chưa được nêu tên và xâm nhập 996 thiết bị mạng. Công ty tình báo mối đe dọa GreyNoise phát hiện hoạt động này, theo BleepingComputer.
Truy cập cơ sở dữ liệu chính phủ
GreyNoise quy chiến dịch này cho một tác nhân có liên hệ với nhóm Red Heron. Các nhà nghiên cứu cho biết kẻ tấn công đã sử dụng các lỗ hổng wp2shell, CVE-2026-63030 và CVE-2026-60137, trong một thành phần của WordPress Core để xâm nhập ít nhất 49 tổ chức tại 29 quốc gia. Mục tiêu gồm doanh nghiệp nhỏ và cơ quan chính phủ.
Tại một cơ quan chính phủ phương Tây chưa được nêu tên, kẻ tấn công tiến hành do thám Windows và hệ thống bảo mật trước khi tìm thấy thông tin xác thực của một cơ sở dữ liệu SQL phía sau. Sau đó, chúng dùng thông tin này trong cuộc tấn công phun mật khẩu nhằm vào máy chủ SQL nội bộ. GreyNoise cho biết dữ liệu bị lấy cắp gồm thông tin tài khoản, mật khẩu dạng văn bản rõ và thông tin nhận dạng cá nhân liên quan đến các cơ quan chính phủ và thực thi pháp luật.
Nhắm mục tiêu cả thiết bị mạng
Từ ngày 17/8, tác nhân này khai thác CVE-2026-7273 trên các switch ZyXEL GS1900 Smart Managed. GreyNoise cho biết 996 thiết bị tại 48 quốc gia đã bị xâm nhập, cho phép kẻ tấn công lấy cấu hình thiết bị, thông tin mạng và thông tin xác thực cấp root đã được băm.
Chiến dịch cũng nhắm đến các lỗ hổng trong Ubiquiti UniFi OS, gồm CVE-2026-34908, CVE-2026-34909 và CVE-2026-34910. Theo báo cáo, CISA đã đánh dấu ba lỗ hổng này là đang bị khai thác từ cuối tháng 6/2026.
Danh sách lỗ hổng được khai thác rộng
GreyNoise xác định hoạt động nhắm mục tiêu, ở mức đã được xác nhận hoặc mới chỉ là nỗ lực, nhằm vào PAN-OS GlobalProtect, FlowiseAI, Nuclio, Proxmox VE, SENAITE LIMS, Gitea và lỗ hổng Dirty Pipe trong nhân Linux. Các vấn đề được nêu gồm CVE-2026-56271 trong FlowiseAI, CVE-2026-60004 trong Gitea, CVE-2026-79756 trong Nuclio và CVE-2023-54391 trong Proxmox VE.
Các nhà nghiên cứu cho biết mã khai thác công khai của wp2shell xuất hiện vào giữa tháng 7, còn hoạt động khai thác thực tế được ghi nhận vài ngày sau đó. Họ cũng lưu ý rằng một số lỗ hổng liên quan đến hoạt động này chưa có trong danh mục Known Exploited Vulnerabilities (KEV) của CISA. GreyNoise đã công bố các chỉ dấu xâm nhập, gồm mã băm của cửa hậu và thông tin về hạ tầng điều khiển và kiểm soát.
Phương thức xâm nhập được ghi nhận
Trong một vụ xâm nhập, kẻ tấn công thử 17 tập lệnh trong khoảng 36 phút để vượt qua AMSI, nâng quyền thông qua việc mạo danh hoặc đánh cắp token, tạo tài khoản quản trị viên cục bộ và trích xuất dữ liệu từ registry. Hoạt động tương tự cũng được liên hệ với vụ xâm nhập một tổ chức nhà nước Nga tại khu vực Ukraine bị chiếm đóng, mà GreyNoise mô tả là một sự cố giữa các bên nhà nước riêng biệt.
Ảnh minh họa do AI tạo.
Nguồn: Chinese hackers exploit WordPress, Zyxel flaws to steal govt data