Microsoft phát hành Patch Tuesday với 622 CVE, gồm 58 lỗ hổng mức Critical và 2 lỗ hổng đang bị khai thác
"Microsoft released patches for 622 CVEs in its July 2026 Patch Tuesday, including 58 critical issues, two actively exploited vulnerabilities, and one publicly disclosed flaw. Notable fixes include CVE-2026-56155 in Active Directory Federation Services, CVE-2026-56164 in SharePoint, CVE-2026-50661 in BitLocker, and multiple critical RCE issues in Copilot, Exchange, and Microsoft Office; Adobe also patched 64 CVEs across seven products, including a CVSS 9.9 ColdFusion path traversal leading to code execution."
Tác động bảo mật cao do có 58 lỗ hổng Critical và 2 lỗ hổng đang bị khai thác, bao phủ nhiều bề mặt như ADFS/SharePoint/Exchange/Office. Việc chậm trễ cập nhật làm tăng nguy cơ chiếm quyền và thực thi mã từ xa.
Rủi ro vận hành tăng vì các lỗ hổng có thể ảnh hưởng trực tiếp đến hệ thống doanh nghiệp (xác thực, cộng tác, email và ứng dụng văn phòng). Ưu tiên vá nhanh giúp giảm khả năng gián đoạn dịch vụ và sự cố an ninh lan rộng.
Microsoft vừa công bố gói cập nhật Patch Tuesday tháng 7/2026 cho các sản phẩm của hãng, bao gồm bản vá cho 622 CVE. Trong đó có 58 lỗ hổng mức Critical, 2 lỗ hổng đang được khai thác tích cực, và 1 lỗ hổng đã được công bố công khai. Ngoài các CVE thuộc hệ sinh thái Microsoft, bản phát hành còn đề cập thêm 428 CVE Chromium liên quan đến Edge nhưng không tính vào tổng 622.
Các điểm đáng chú ý gồm CVE-2026-56155 (Active Directory Federation Services) với dạng elevation of privilege do kiểm soát truy cập chưa đủ chi tiết; CVE-2026-56164 (SharePoint) cũng là elevation of privilege liên quan thiếu xác thực cho một chức năng quan trọng. Với BitLocker, CVE-2026-50661 cho phép vượt qua cơ chế bảo vệ nếu kẻ tấn công có quyền truy cập cục bộ.
Ở nhóm mức độ cao khác, bài viết nêu CVE-2026-48561 (Copilot) có thể dẫn tới remote code execution thông qua xử lý đầu vào không đúng cách; CVE-2026-55008 (Exchange) cho phép cross-site scripting từ email độc hại. Microsoft Office có 16 lỗ hổng RCE được nhắc đến.
Song song, Adobe phát hành bản vá cho 64 CVE trên 7 sản phẩm, nổi bật là CVE-2026-48318 (ColdFusion) với path traversal có thể dẫn tới arbitrary code execution (CVSS 9.9). Khuyến nghị: ưu tiên rà soát danh sách CVE theo tài sản, áp dụng bản vá theo thứ tự rủi ro, và kiểm tra lại cấu hình/điều kiện khai thác sau cập nhật.