Microsoft phát hành bản vá Windows ngoài lịch trình để cập nhật chứng chỉ

Microsoft vừa phát hành thêm một bản cập nhật ngoài lịch trình (out-of-band) cho Windows. Tuy nhiên, khác với những lần trước đây thường là để sửa gấp các lỗi do chính hãng gây ra, lần này mục tiêu lại là chứng chỉ bảo mật.

Theo The Register, bản cập nhật không phải bản vá bảo mật này áp dụng cho các hệ điều hành đang được hỗ trợ, từ Windows 11, Windows Server 2025 cho tới Windows 10. Trọng tâm là cập nhật danh sách chứng chỉ tin cậy (CTL) trên những thiết bị không thể truy cập dịch vụ cập nhật chứng chỉ của Microsoft, hoặc đã tắt tính năng cập nhật CTL tự động.

Sự cố eMudhra và việc thu hồi chứng chỉ

Bản vá xuất hiện sau khi Microsoft công bố phản ứng trước việc khóa riêng tư của eMudhra bị xâm phạm. eMudhra là một tổ chức chứng thực (CA) có trụ sở tại Ấn Độ, và khóa riêng tư của họ bị lộ hồi đầu tháng này, buộc phải tiến hành một đợt dọn dẹp quy mô lớn.

Theo Microsoft, những khóa bị xâm phạm "có thể bị lợi dụng để tạo chứng chỉ hoặc ký nội dung trông như đến từ một CA tin cậy".

Giống nhiều tổ chức khác, Microsoft đã nhanh chóng chặn các tổ chức chứng thực bị ảnh hưởng bằng cách cập nhật Danh sách chứng chỉ tin cậy bị cấm của Windows nhằm vô hiệu hóa các chứng chỉ liên quan. Song song đó là một bản phát hành CRLSet riêng cho trình duyệt Edge và WebView2.

Cụ thể, theo gã khổng lồ phần mềm: "Vào ngày 26/10, Microsoft phát hành bản cập nhật Windows ngoài lịch trình, loại bỏ bảy chứng chỉ thuộc các phân cấp bị ảnh hưởng — sáu chứng chỉ gốc eMudhra G3 và một chứng chỉ ký chéo AAA Certificate Services — khỏi danh sách tin cậy của Windows."

Những vấn đề đã biết vẫn tồn tại

Bản cập nhật này cũng bao gồm toàn bộ nội dung của bản phát hành ngày 13/10, kéo theo các vấn đề đã được ghi nhận trước đó:

• Sự cố với VPN vẫn tiếp diễn
• Thay đổi có thể làm hỏng máy chủ Exchange tại chỗ (on-premises)
• Có thể xuất hiện bất thường với Smart App Control, âm thanh, và kết nối Remote Desktop cho người dùng không có quyền quản trị

Đáng lưu ý là các vấn đề này không được khắc phục trong bản vá lần này, nên người dùng cần cân nhắc trước khi cài đặt.

Có cần cài bản vá này không?

Phần lớn thiết bị sẽ không cần đến bản phát hành này, bởi danh sách chứng chỉ hiện hành thường được cập nhật tự động thông qua dịch vụ của Microsoft. Tuy nhiên, nếu dịch vụ đó không khả dụng hoặc không được sử dụng, việc cài bản sửa lỗi ngoài lịch trình này là điều nên làm, bởi các sự cố có thể xảy ra khi xác minh chứng chỉ dùng cho ứng dụng hoặc trang web.

Nhìn chung, đây là động thái cần thiết của Microsoft trong bối cảnh chuỗi tin cậy chứng chỉ số ngày càng phức tạp. Với người dùng tại Việt Nam, đặc biệt là các doanh nghiệp vận hành hệ thống Windows Server và Exchange nội bộ, việc theo dõi sát các bản cập nhật chứng chỉ và kiểm tra ảnh hưởng của sự cố eMudhra là khuyến nghị đáng cân nhắc để đảm bảo an toàn hệ thống.