Microsoft tung bản vá kỷ lục cho 1.413 lỗ hổng, bao gồm lỗi Windows Shell đang bị khai thác

Microsoft vừa thực hiện đợt cập nhật bảo mật lớn nhất từ trước đến nay với 1.413 lỗ hổng được xử lý trong khuôn khổ Patch Tuesday tháng 10/2026. Con số khổng lồ này bao gồm 1.102 lỗi trên Windows, 134 lỗi trên Office, cùng hàng loạt lỗ hổng khác trên các nền tảng SharePoint, SQL Server và công cụ dành cho nhà phát triển.

Trong số các lỗ hổng được vá, có hơn 670 lỗi liên quan đến leo thang đặc quyền (privilege escalation), hơn 300 lỗi thực thi mã từ xa (RCE) và hơn 70 lỗ hổng được xếp hạng nghiêm trọng (Critical). Các chuyên gia bảo mật nhận định rằng việc số lượng CVE tăng vọt đang trở thành “bình thường mới”, một phần do sự hỗ trợ của AI trong việc tìm kiếm và phát hiện lỗ hổng nhanh hơn trên cả hai phía: nhà nghiên cứu và kẻ tấn công.

Các lỗ hổng đáng chú ý

• CVE-2026-96951 (CVSS 8.8): Lỗ hổng command injection trong Windows Shell cho phép kẻ tấn công bypass các tính năng bảo mật qua mạng. Microsoft xác nhận lỗ hổng này đang bị khai thác trong thực tế để vượt qua cơ chế bảo vệ Mark of the Web (MOTW). CISA đã đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities (KEV).
• CVE-2026-108398 (CVSS 8.8): Lỗ hổng untrusted search path trong .NET Framework, cho phép kẻ tấn công cục bộ bypass Windows Defender Application Control (WDAC) để chạy các ứng dụng trái phép mà không cần tương tác từ người dùng.
• CVE-2026-92707 (CVSS 5.3): Lỗ hổng liên quan đến phân bổ bộ nhớ trong MessagePack-CSharp, có thể bị lợi dụng để thực hiện tấn công từ chối dịch vụ (DoS).

Ngoài ra, Microsoft cũng vá một lỗ hổng nghiêm trọng (CVE-2026-21413, CVSS 9.8) trong Raw Image Extension, cho phép thực thi mã từ xa khi hệ thống tạo bản xem trước (thumbnail) của tệp ảnh độc hại.

Thay đổi trong chiến lược ưu tiên bản vá

Để hỗ trợ các tổ chức quản lý khối lượng công việc khổng lồ này, Microsoft đã giới thiệu phương pháp “risk cohorts” (nhóm rủi ro). Theo đó, các CVE có tính chất tương đồng sẽ được nhóm lại để giúp đội ngũ IT đánh giá và ưu tiên xử lý hiệu quả hơn. Tuy nhiên, hãng vẫn khuyến cáo các quản trị viên cần kiểm tra kỹ từng CVE dựa trên các yếu tố như khả năng bị khai thác thực tế, mức độ nghiêm trọng và vector tấn công cụ thể trước khi áp dụng.

Nguồn tham khảo: The Hacker News