Microsoft phát hành bản vá lỗi tháng 11: Hơn 1000 lỗi, một zero-day
"Microsoft released a Patch Tuesday update addressing 1,094 vulnerabilities, including one actively exploited zero-day (CVE-2026-124194) in Outlook that allows NTLMv2 hash disclosure. Additionally, two critical zero-click vulnerabilities (CVE-2026-116928 and CVE-2026-119958) were disclosed affecting Windows Search and LDAP, respectively. Prioritization of patching Exchange, Domain Controllers, and wormable vulnerabilities is recommended."
Bản cập nhật này giải quyết một zero-day đang bị khai thác và các lỗ hổng zero-click có thể dẫn đến thực thi mã từ xa.
Các lỗ hổng trong Outlook, Exchange và Domain Controllers có thể gây ra mất dữ liệu, gián đoạn dịch vụ và thiệt hại uy tín cho doanh nghiệp.
Microsoft vừa phát hành bản cập nhật Patch Tuesday, khắc phục 1.094 lỗ hổng bảo mật, trong đó có một lỗ hổng zero-day (CVE-2026-124194) trong Outlook cho phép lộ hash NTLMv2. Ngoài ra, hai lỗ hổng nghiêm trọng zero-click (CVE-2026-116928 và CVE-2026-119958) được công bố, ảnh hưởng đến Windows Search và LDAP.
Với các doanh nghiệp Việt Nam đang sử dụng Outlook và Windows Server, việc vá lỗi này quan trọng để ngăn chặn tấn công. Lỗ hổng zero-day trong Outlook có thể để lộ thông tin đăng nhập, còn các lỗ hổng zero-click có thể bị khai thác mà không cần tương tác từ người dùng.
CVE-2026-124194 là lỗ hổng spoofing trong Outlook. Dustin Childs từ Zero Day Initiative cảnh báo, mặc dù điểm CVSS chỉ 6.5/10, nhưng tác động lớn hơn tên gọi. Kẻ tấn công gửi tệp đặc biệt, dụ người dùng mở. Outlook kết nối đến mạng của kẻ tấn công mà không cảnh báo, tiết lộ hash NTLMv2 của người dùng. Kẻ tấn công có thể dùng hash này để xác thực như người dùng.
Microsoft cho biết lỗ hổng này đã bị khai thác, nhưng không tiết lộ thời điểm, đối tượng hoặc mục đích. Patching cần được ưu tiên.
Tháng 10 cũng có 1.474 lỗ hổng, nhưng hiện tại chỉ CVE-2026-124194 bị khai thác. Jake Knott từ watchTowr nhận xét: “Có lẽ chúng ta nên về nhà thôi.” Ông cũng nhấn mạnh việc tự động hóa tìm kiếm lỗi đã làm tăng số lượng bản vá.
Có hai lỗ hổng zero-click đáng chú ý: CVE-2026-116928 (Windows Search) và CVE-2026-119958 (LDAP). Cả hai đều có điểm CVSS 9.8/10. CVE-2026-116928 có thể bị khai thác bằng cách gửi email chứa tệp đính kèm đặc biệt đến Exchange. CVE-2026-119958 cho phép kẻ tấn công thực thi mã từ xa bằng cách gửi yêu cầu LDAP đặc biệt. Ngoài ra, có 30 lỗ hổng có nguy cơ lan truyền qua mạng (wormable).
Cuối cùng, lỗ hổng nghiêm trọng CVE-2026-112967 trong Windows Xbox Live Networking Service cũng được vá. Bạn nên cập nhật hệ thống Xbox Live Networking Service cùng với các bản vá khác.
Câu hỏi thường gặp
CVE-2026-124194 là gì?
CVE-2026-124194 là lỗ hổng spoofing trong Outlook cho phép kẻ tấn công lấy cắp hash NTLMv2 của người dùng khi họ mở một tệp đính kèm đặc biệt. Hash này có thể được sử dụng để xác thực như người dùng.
Lỗ hổng zero-click là gì?
Lỗ hổng zero-click là lỗ hổng bảo mật có thể bị khai thác mà không cần bất kỳ tương tác nào từ người dùng. Ví dụ, CVE-2026-116928 và CVE-2026-119958 có thể bị khai thác chỉ bằng cách gửi email hoặc yêu cầu LDAP đặc biệt.
Có bao nhiêu lỗ hổng được vá trong bản cập nhật tháng 11?
Microsoft đã phát hành bản cập nhật Patch Tuesday khắc phục tổng cộng 1.094 lỗ hổng bảo mật trong các sản phẩm của mình.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc vá các lỗ hổng zero-click và lỗ hổng trong Exchange/Domain Controllers là ưu tiên hàng đầu. Các doanh nghiệp Việt Nam nên kiểm tra và cập nhật hệ thống ngay lập tức. Điều đáng chú ý là số lượng lỗ hổng tăng cao cho thấy xu hướng tấn công ngày càng phức tạp, đòi hỏi các tổ chức phải chủ động hơn trong việc bảo mật.