Microsoft vá 1.413 lỗ hổng kỷ lục, bao gồm cả lỗi Windows đang bị khai thác

Microsoft đã phát hành các bản cập nhật bảo mật cho số lượng kỷ lục 1.413 lỗ hổng trong toàn bộ hệ sinh thái phần mềm của hãng trong tháng này. Bản phát hành Patch Tuesday tháng 10 năm 2026 bao gồm các bản sửa lỗi nghiêm trọng trên Windows, Office và các sản phẩm máy chủ, trong đó có một lỗ hổng trên Windows Shell đã và đang bị tin tặc khai thác ngoài thực tế.

Chuyện gì đã xảy ra

Số lượng bản vá khổng lồ đánh dấu một mức chuẩn mới cho công tác bảo trì bảo mật của Microsoft, vượt qua các kỷ lục hàng tháng trước đây. Trong số 1.413 vấn đề được khắc phục, 1.102 ảnh hưởng đến Windows, trong khi những vấn đề còn lại tác động đến Office, Developer Tools, SharePoint Server và SQL Server. Hơn 670 lỗ hổng trong số này cho phép leo thang đặc quyền, và hơn 300 lỗ hổng cho phép thực thi mã từ xa. Bảy mươi lỗ hổng được xếp hạng ở mức độ nghiêm trọng (Critical).

Trong số các bản sửa lỗi khẩn cấp nhất là CVE-2026-96951, một lỗ hổng chèn lệnh (command injection) trên Windows Shell với điểm CVSS là 8.8. Microsoft xác nhận rằng các nhóm đe dọa đang tích cực khai thác lỗ hổng này để bỏ qua các biện pháp phòng thủ Mark of the Web (MOTW). Tính năng bảo mật này thường cảnh báo người dùng khi họ mở các tệp được tải xuống từ internet. Bằng cách tránh MOTW, tin tặc có thể lừa người dùng thực thi mã độc thông qua tệp đính kèm email hoặc liên kết mà không kích hoạt các cảnh báo tiêu chuẩn. Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm lỗ hổng này vào danh mục Các lỗ hổng bị khai thác đã biết (Known Exploited Vulnerabilities), yêu cầu các cơ quan liên bang phải vá lỗi này trước ngày 16 tháng 10 năm 2026.

Một bản sửa lỗi đáng kể khác giải quyết CVE-2026-108398, một lỗ hổng đường dẫn tìm kiếm không đáng tin cậy (untrusted search path vulnerability) trong .NET Framework. Lỗ hổng này cho phép kẻ tấn công đã xác thực bỏ qua Windows Defender Application Control (WDAC) và chạy các ứng dụng trái phép. Khác với lỗ hổng trên Shell, kỹ thuật khai thác này không đòi hỏi sự tương tác của người dùng sau khi kẻ tấn công có quyền truy cập cục bộ. Nó đóng vai trò như một kỹ thuật hậu xâm nhập (post-compromise) mạnh mẽ, cho phép đối thủ duy trì sự hiện diện và thực thi mã trong các tiến trình được bảo vệ. Microsoft cũng đã vá một lỗi tràn bộ đệm (buffer overflow) mức độ cao trong Raw Image Extension (CVE-2026-21413), có thể kích hoạt việc thực thi mã từ xa chỉ bằng cách xem một thư mục chứa tệp hình ảnh được thiết kế đặc biệt.

Chi tiết chính

• Số lượng kỷ lục: Microsoft đã vá 1.413 lỗ hổng, bao gồm 1.102 trên Windows và 134 trên Office.
• Khai thác tích cực: CVE-2026-96951 trên Windows Shell đang bị khai thác ngoài thực tế để bỏ qua các cảnh báo bảo mật.
• Leo thang đặc quyền: Hơn 670 lỗ hổng cho phép kẻ tấn công leo thang đặc quyền, trong khi hơn 300 lỗ hổng cho phép thực thi mã từ xa.
• Bỏ qua cục bộ: CVE-2026-108398 cho phép kẻ tấn công cục bộ bỏ qua các biện pháp bảo vệ WDAC mà không cần sự tương tác của người dùng.
• Ưu tiên hóa mới: Microsoft giới thiệu "risk cohorts" (nhóm rủi ro) để giúp các tổ chức phân nhóm và đánh giá các CVE liên quan hiệu quả hơn.
• Ảnh hưởng của AI: Các chuyên gia lưu ý rằng AI đang đẩy nhanh cả quá trình phát hiện lỗi và khắc phục, góp phần làm tăng số lượng lỗ hổng được báo cáo.

Bối cảnh

Patch Tuesday là lịch trình hàng tháng của Microsoft để phát hành các bản cập nhật bảo mật. Trước đây, các bản phát hành này thường chứa vài chục bản sửa lỗi, nhưng những năm gần đây, số lượng đã tăng lên hàng trăm. Thuật ngữ "Mark of the Web" (MOTW) đề cập đến một tính năng bảo mật của Windows gắn thẻ các tệp được tải xuống từ internet. Các ứng dụng kiểm tra thẻ này để quyết định xem chúng nên chạy ở chế độ hạn chế hay cảnh báo người dùng. Việc bỏ qua MOTW là mục tiêu phổ biến của tin tặc vì nó cho phép chúng phân phối mã độc trông có vẻ an toàn đối với hệ điều hành.

Windows Defender Application Control (WDAC) là một tính năng dựa trên chính sách, hạn chế những ứng dụng nào được phép chạy trên thiết bị. Nó thường được sử dụng trong các môi trường bảo mật cao để ngăn chặn việc thực thi phần mềm trái phép. Các lỗ hổng bỏ qua WDAC đặc biệt nguy hiểm vì chúng làm suy yếu một lớp phòng thủ cốt lõi. Khái niệm "risk cohorts" là nỗ lực mới nhất của Microsoft nhằm giúp các đội ngũ IT quản lý số lượng CVE quá lớn. Thay vì xử lý từng lỗ hổng riêng lẻ, các nhóm rủi ro gom những lỗ hổng có chiến lược giảm thiểu hoặc vector tấn công tương tự, cho phép quy trình phân loại (triage) diễn ra nhanh chóng hơn.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành phần mềm tự host trên máy chủ Windows hoặc sử dụng các công cụ phát triển của Microsoft, chu kỳ vá lỗi kỷ lục này đòi hỏi sự chú ý ngay lập tức. Việc khai thác tích cực lỗ hổng trên Windows Shell có nghĩa là sự chậm trễ làm tăng đáng kể rủi ro bị xâm nhập. Vì vector tấn công liên quan đến kỹ thuật xã hội qua email hoặc tin nhắn tức thời, ngay cả các máy chủ được bảo vệ chặt chẽ cũng có thể dễ bị tổn thương nếu quản trị viên hoặc người dùng tương tác với các tệp độc hại. Yêu cầu các cơ quan liên bang phải vá lỗi trước ngày 16 tháng 10 nhấn mạnh mức độ khẩn cấp được các cơ quan an ninh quốc gia công nhận.

Số lượng bản vá cũng làm nổi bật một bối cảnh đang thay đổi, nơi AI đẩy nhanh quá trình khám phá lỗ hổng. Như Dustin Childs từ Zero Day Initiative đã nhận xét: "Hàng trăm CVE trong một bản phát hành từng là ngoại lệ; giờ đây nó trở thành mức chuẩn." Điều này có nghĩa là các lãnh đạo IT không thể dựa vào việc vá mọi lỗ hổng ngay lập tức. Thay vào đó, họ phải ưu tiên dựa trên khả năng bị khai thác và các mối đe dọa đang hoạt động. Bỏ qua các lỗ hổng đang bị khai thác tích cực để tập trung vào các mục rủi ro thấp sẽ khiến hệ thống phơi bày trước các cuộc tấn công đã biết. Ngược lại, dành quá nhiều thời gian cho các CVE rủi ro thấp sẽ lãng phí nguồn lực mà không giảm bớt mức độ phơi nhiễm trước các mối đe dọa thực tế.

Ngoài ra, sự tồn tại của các lỗ hổng trong các thành phần như Raw Image Extension cho thấy bề mặt tấn công mở rộng vượt ra ngoài các vai trò máy chủ truyền thống. Một máy chủ tệp hoặc trạm làm việc dùng để xử lý phương tiện có thể bị xâm nhập chỉ bằng cách duyệt qua một thư mục. Đối với các kỹ sư DevOps quản lý pipeline CI/CD trên Windows, lỗ hổng .NET Framework đặt ra rủi ro nếu các build agent được chia sẻ hoặc nếu các biện pháp kiểm soát truy cập cục bộ yếu kém. Hiểu rõ các vector cụ thể này giúp các đội ngũ áp dụng bản vá ở những nơi quan trọng nhất thay vì cố gắng cập nhật đồng loạt, điều có thể gây gián đoạn hoạt động không cần thiết.

Bạn có thể làm gì

• Ưu tiên vá CVE-2026-96951 và CVE-2026-108398 ngay lập tức do chúng đang bị khai thác tích cực và thông tin đã công khai.
• Rà soát kho tài nguyên Windows Server và workstation của bạn để đảm bảo tất cả các instance đều nằm trong cửa sổ bảo trì sắp tới.
• Giáo dục người dùng về rủi ro khi mở các tệp đính kèm bất ngờ, vì lỗ hổng Shell phụ thuộc vào sự tương tác của người dùng.
• Sử dụng tài liệu "risk cohorts" mới của Microsoft để phân nhóm các bản vá còn lại và hợp lý hóa quy trình đánh giá của bạn.
• Xác minh rằng các chính sách WDAC được cấu hình đúng và giám sát mọi dấu hiệu của các nỗ lực bỏ qua trên các hệ thống quan trọng.
• Kiểm tra các bản cập nhật cho Raw Image Extension trên các máy xử lý tệp hình ảnh để ngăn chặn các kỹ thuật khai thác dựa trên thumbnail.