Microsoft phát hành bản vá kỷ lục với 974 CVE
"Microsoft released a record Patch Tuesday update addressing 974 CVEs across its products, including two Windows privilege-escalation zero-days already under active exploitation: CVE-2026-85880 in Windows ALPC and CVE-2026-81963 in the Windows Update Stack. The update also includes CVE-2026-55007, a critical Exchange Server remote code execution flaw triggered by a malicious Visio attachment, while Adobe separately patched CVE-2026-75650 (StyleSmuggler), an actively exploited Magento/Adobe Commerce RCE that was fixed via hotfix and later bulletin."
Tác động rất cao do có 2 zero-day đang bị khai thác, cùng các lỗ hổng remote code execution và SYSTEM-level privilege escalation trên hệ thống phổ biến.
Có thể gây gián đoạn dịch vụ email, xâm nhập máy chủ, và ảnh hưởng trực tiếp đến hệ thống thương mại điện tử; cần ưu tiên vá để giảm rủi ro vận hành.
Microsoft đã công bố đợt Patch Tuesday lớn nhất từ trước đến nay, xử lý 974 CVE trên các sản phẩm của hãng. Trong số này có hai lỗ hổng zero-day trên Windows đang bị khai thác thực tế: CVE-2026-85880 trong Windows ALPC và CVE-2026-81963 trong Windows Update Stack. Cả hai đều có thể dẫn tới SYSTEM privileges sau khi bị khai thác cục bộ.
Đáng chú ý, CVE-2026-55007 trong Exchange Server được đánh giá là một bản vá ưu tiên cao. Lỗ hổng này cho phép kẻ tấn công từ xa, không cần xác thực, thực thi mã thông qua email chứa tệp đính kèm Visio độc hại khi máy chủ xử lý nội dung.
Song song, Adobe đã vá 172 CVE trong 10 bulletin, trong đó CVE-2026-75650 (StyleSmuggler) ảnh hưởng đến Magento và Adobe Commerce. Lỗ hổng này đã bị khai thác thực tế và có thể dẫn tới remote code execution trên các phiên bản từ 2.4.4 đến 2.4.9.
Khuyến nghị: ưu tiên vá ngay các hệ thống Windows, Exchange Server, Magento/Adobe Commerce; kiểm tra trạng thái khai thác, lên lịch bảo trì cho máy chủ email và áp dụng bản vá/hotfix theo hướng dẫn của nhà cung cấp.