CISA cảnh báo lỗ hổng BlueHammer trên Windows Defender đang bị khai thác bởi nhóm ransomware
"CISA updated its Known Exploited Vulnerabilities Catalog to note that the Windows Defender privilege escalation flaw CVE-2026-33825, known as BlueHammer, is now being used by ransomware gangs. Microsoft patched the issue on April 14, 2026, after it had already been exploited as a zero-day; the flaw can let a local attacker escalate to SYSTEM privileges and take control of the affected machine."
Nguy cơ cao do lỗ hổng cho phép leo thang đặc quyền cục bộ và có thể dẫn tới chiếm quyền SYSTEM; CISA đã đánh dấu bị khai thác trong chiến dịch ransomware, làm tăng xác suất bị tấn công thực tế.
Nếu không được vá kịp thời, tổ chức có thể đối mặt với rủi ro mất kiểm soát máy chủ/endpoint và gián đoạn do ransomware; chi phí xử lý sự cố và khôi phục có thể tăng do khai thác đang diễn ra.
CISA cho biết các nhóm ransomware đã bắt đầu khai thác lỗ hổng leo thang đặc quyền mức cao trong Microsoft Defender. Lỗ hổng này được gắn tên BlueHammer và mã CVE-2026-33825. Theo mô tả của Microsoft, vấn đề xuất phát từ kiểm soát truy cập thiếu chi tiết trong Defender, cho phép kẻ tấn công đã có quyền hợp lệ leo thang đặc quyền cục bộ.
Microsoft đã phát hành bản vá vào 14/04/2026 (trong Patch Tuesday tháng 4), sau khi lỗ hổng từng bị khai thác như zero-day. Trước đó, đầu tháng 4, nhà nghiên cứu “Nightmare Eclipse” công bố mã PoC kèm thông tin liên quan đến quy trình tiết lộ của MSRC. Các phân tích cũng cho thấy kẻ tấn công có thể truy cập SAM (chứa hash mật khẩu tài khoản cục bộ), từ đó leo lên SYSTEM và chiếm quyền điều khiển máy bị ảnh hưởng.
CISA đã đưa CVE-2026-33825 vào KEV Catalog từ 22/04, yêu cầu cơ quan FCEB khắc phục trong vòng hai tuần (đến 07/05). Trong cập nhật mới, CISA tiếp tục đánh dấu bị khai thác trong chiến dịch ransomware. Khuyến nghị: rà soát mức vá trên Windows/Defender, ưu tiên triển khai bản vá tương ứng, đồng thời giám sát dấu hiệu truy cập bất thường đến SAM và hành vi leo thang đặc quyền.