Microsoft v� 1.094 lỗ hổng, có zero-day Outlook bị khai thác

Microsoft vừa phát hành bản cập nhật Patch Tuesday tháng 11/2026, vá tổng cộng 1.094 lỗ hổng trên loạt sản phẩm của hãng. Đáng chú ý nhất là một lỗ hổng zero-day trên Outlook mà Microsoft thừa nhận đã bị khai thác ngoài thực tế — lỗi này có thể khiến kẻ tấn công chiếm được thông tin xác thực của người dùng.

Minh họa lỗ hổng bảo mật trên Microsoft Outlook

Zero-day Outlook: lỗi giả mạo, mức độ "trung bình"

Lỗ hổng được theo dõi với mã CVE-2026-124194, xếp vào nhóm lỗi giả mạo (spoofing). Nguyên nhân là Outlook không cảnh báo người dùng trước khi thực hiện một hành động có thể nguy hiểm.

Microsoft chấm lỗ hổng này mức "trung bình" (moderate) với điểm CVSS 6.5. Khuyến cáo của hãng không cung cấp thông tin nào về các cuộc tấn công đã quan sát được.

Theo Microsoft, để tấn công thành công, kẻ xấu phải dụ nạn nhân mở một tệp độc hại. Hãng giải thích:

"Kẻ tấn công chưa xác thực có thể gửi một tệp tin nhắn được thiết kế đặc biệt và thuyết phục người dùng mở nó bằng một phiên bản Microsoft Outlook bị ảnh hưởng. Việc mở tệp có thể khiến Outlook kết nối tới một địa chỉ mạng do kẻ tấn công kiểm soát mà không hiển thị cảnh báo nội dung bên ngoài như thường lệ, từ đó có thể làm lộ thông tin xác thực mà kẻ xấu dùng để mạo danh người dùng."

Lỗ hổng không thể kích hoạt qua khung xem trước (Preview Pane). Microsoft cũng nói rõ: "Lỗ hổng này làm lộ hash NTLMv2 của người dùng cho kẻ tấn công, kẻ đó có thể dùng nó để xác thực với tư cách người dùng."

Lỗ hổng chưa từng được công bố công khai trước khi bản vá ra đời. Các sản phẩm bị ảnh hưởng gồm Microsoft 365 Apps for Enterprise, Office LTSC 2021 và Office LTSC 2024. Microsoft ghi nhận công của một nhà nghiên cứu có biệt danh 'nono' cùng Benoît Sevens trong việc phát hiện lỗi; phần ghi nhận dành cho Sevens có nhắc đến việc sử dụng mô hình AI Claude của Anthropic.

Bức tranh tổng thể: hơn 5.000 lỗ hổng trong năm nay

Trong số 1.094 lỗ hổng được vá tháng này, Windows chiếm 726, tiếp theo là Office với 174. Microsoft cũng xử lý 59 lỗ hổng trong SQL Server, 53 trong các công cụ dành cho lập trình viên (developer tools), 27 trong SharePoint Server, 20 trong Azure và 9 trong Exchange Server.

Ngoài ra, hãng phát hành lại 165 CVE của bên thứ ba, lưu ý rằng các lỗ hổng của Chrome không nằm trong danh sách.

Bản tóm tắt phát hành liệt kê các bản cập nhật mức nghiêm trọng (critical) cho Windows 10, Windows 11, Windows Server 2016 đến 2025, Office, Exchange Server Subscription Edition, Edge và Malware Protection Engine. Azure OpenAI và Azure Managed Grafana cũng có trong danh sách.

Đợt vá tháng 11 nhỏ hơn tháng 10, khi Microsoft xử lý kỷ lục 1.413 lỗ hổng. Với vòng vá lần này, tổng số lỗ hổng Microsoft đã khắc phục trong năm nay vượt mốc 5.000.

Ảnh chân dung tác giả bài viết trên SecurityWeek

Đây cũng là bản cập nhật cuối cùng cho phiên bản Enterprise và Education của Windows 11 phiên bản 23H2. Các thiết bị chạy hai bản này sẽ không còn nhận bản cập nhật bảo mật hàng tháng nữa.

Về phía Adobe, đợt Patch Tuesday mới nhất vá khoảng 110 lỗ hổng trên 9 sản phẩm.

Góc nhìn

Với các đội vận hành và bảo mật tại Việt Nam, bài học lớn nhất nằm ở bản chất của CVE-2026-124194: điểm CVSS chỉ 6,5 và mức "trung bình", nhưng lại đang bị khai thác thực tế. Điều này cho thấy không nên xếp lịch vá chỉ dựa vào điểm số — những lỗ hổng đã bị khai thác cần được ưu tiên bất kể xếp hạng.

Cơ chế tấn công cũng đáng lưu tâm: chỉ cần người dùng mở một tệp tin nhắn là Outlook có thể kết nối tới địa chỉ do kẻ xấu kiểm soát và làm lộ hash NTLMv2 — loại thông tin có thể bị dùng để mạo danh. Các doanh nghiệp dùng Microsoft 365 Apps for Enterprise hay Office LTSC 2021/2024 nên rà soát ngay bản vá, đồng thời siết chặt thói quen mở tệp đính kèm từ nguồn không tin cậy.

Cuối cùng, việc Windows 11 23H2 bản Enterprise và Education ngừng nhận cập nhật bảo mật là lời nhắc cho các đơn vị còn chạy phiên bản này: cần lên kế hoạch nâng cấp trước khi thiết bị rơi khỏi vòng hỗ trợ.

Biểu tượng SecurityWeek