Microsoft vá lỗi kỷ lục 974 lỗ hổng, gồm 2 zero-day Windows đang bị khai thác
"Microsoft released a record Patch Tuesday update addressing 974 vulnerabilities across its software portfolio, including two Windows zero-days that were actively exploited in the wild. The exploited flaws, CVE-2026-85880 and CVE-2026-81963, are local privilege escalation issues affecting Windows ALPC and the Windows Update Stack, and CISA added both to its KEV catalog with a remediation deadline of September 22, 2026."
Rủi ro cao do 2 zero-day đang bị khai thác, có thể dẫn tới leo thang đặc quyền lên SYSTEM và ảnh hưởng diện rộng trên Windows cùng các dịch vụ hạ tầng.
Có thể gây gián đoạn vận hành nếu chậm vá các máy chủ trọng yếu như Exchange, SQL Server và DNS; khối lượng bản vá lớn cũng làm tăng áp lực kiểm thử và triển khai.
Microsoft đã phát hành bản cập nhật Patch Tuesday tháng 9/2026, xử lý 974 lỗ hổng trên nhiều sản phẩm, nâng tổng số bản vá lên 999 CVE nếu tính cả 25 CVE không thuộc Microsoft. Trong số này có 2 lỗ hổng zero-day trên Windows đang bị khai thác ngoài thực tế: CVE-2026-85880 trong Windows ALPC và CVE-2026-81963 trong Windows Update Stack. Cả hai đều là lỗi leo thang đặc quyền cục bộ và có thể dẫn tới quyền SYSTEM trên máy bị ảnh hưởng.
Microsoft cho biết CVE-2026-85880 không yêu cầu tương tác thêm của người dùng, trong khi CVE-2026-81963 đã được vá trên các phiên bản Windows được hỗ trợ. CISA đã đưa cả hai vào danh mục KEV và yêu cầu các cơ quan liên bang khắc phục trước 22/09/2026.
Ngoài ra, đợt vá này còn xử lý nhiều lỗi nghiêm trọng khác trong Exchange Server, SharePoint, SQL Server, Windows Remote Desktop Services, DNS Server và Windows DHCP Server. Khuyến nghị: ưu tiên triển khai bản vá cho các hệ thống Windows, Exchange, SQL và dịch vụ hạ tầng mạng; rà soát tài sản theo KEV, kiểm tra trạng thái cập nhật và lên lịch vá khẩn cấp cho các máy chủ/phân đoạn có phơi nhiễm Internet.