Patch Tuesday tháng 11: hơn 1.000 lỗ hổng, một zero-day

Đợt Patch Tuesday tháng 11 của Microsoft xử lý tới 1.094 lỗ hổng trong các sản phẩm của hãng, trong đó có một lỗ hổng zero-day (lỗ hổng chưa có bản vá tại thời điểm bị khai thác) đã bị tấn công trên thực tế trước khi bản vá được phát hành. Đây là tháng thứ hai liên tiếp số lỗ hổng vượt mốc 1.000, sau con số 1.474 của tháng 10.

Jake Knott, trưởng bộ phận tình báo mối đe dọa tại công ty quản lý lộ lộ diện tấn công watchTowr, bình luận ngắn gọn với The Register: "Có lẽ chúng ta nên nghỉ việc về nhà thôi." Ông cho rằng hầu hết đội ngũ bảo mật chưa kịp hồi phục sau tháng trước với hàng loạt lỗ hổng nghiêm trọng liên tiếp, các bản vá khẩn cấp và đủ thứ bị gắn mác "2shell".

Lỗ hổng zero-day trong Outlook

Lỗ hổng duy nhất bị khai thác trong thực tế là một lỗ hổng giả mạo (spoofing) trong Outlook, mã hiệu CVE-2026-124194, nhưng chỉ được chấm 6,5/10 theo thang điểm CVSS (thang đo mức độ nghiêm trọng của lỗ hổng bảo mật).

Dustin Childs, trưởng bộ phận nhận thức mối đe dọa tại Zero Day Initiative của TrendAI, cảnh báo không nên để điểm số hay tên gọi khiến người ta chủ quan mà trì hoãn vá lỗ hổng này.

Theo ông, kẻ tấn công gửi một tệp tin nhắn được tạo đặc biệt và dụ người dùng mở nó. Outlook sau đó kết nối tới một địa chỉ mạng do kẻ tấn công kiểm soát mà không hiển thị cảnh báo nội dung bên ngoài thông thường, qua đó làm lộ mã băm NTLMv2 của người dùng. Kẻ tấn công có thể dùng mã băm này để xác thực danh tính chính người dùng đó.

Microsoft đánh dấu CVE-2026-124194 là đã bị khai thác, nhưng như thường lệ không công bố thời điểm tấn công bắt đầu, ai đứng sau và chúng sử dụng quyền truy cập đó để làm gì sau khi khai thác. Khi bản vá đã công khai, nhiều đối tượng khác chắc chắn đang quét tìm các phiên bản dễ tổn thương và phân tích ngược bản vá để phục vụ mục đích tấn công của riêng chúng.

Hai tháng liên tiếp vượt 1.000 lỗ hổng

Dù là tháng thứ hai liên tiếp có hơn 1.000 lỗ hổng, CVE-2026-124194 là lỗ hổng duy nhất đang bị khai thác, và không có lỗ hổng nào trong số 1.094 lỗ hổng được ghi nhận là đã công khai. Childs cho rằng điều này không nên mang lại cho các tổ chức "cảm giác an toàn giả tạo".

Theo ông, việc hai tháng liên tiếp vượt mốc 1.000 lỗ hổng chứng minh rằng săn lùng lỗ hổng tự động đã vĩnh viễn nâng khối lượng bản vá lên mức mới. Với AI khiến việc so sánh bản vá và tạo mã khai thác gần như tức thời, cửa sổ rủi ro mở ra ngay khi các bản cập nhật được phát hành.

Ông khuyến nghị đội ngũ phòng thủ từ bỏ cách sàng lọc dàn trải và hành động ngay: vá Exchange và Domain Controller (LDAP/Kerberos) trước để chặn các cuộc tấn công không cần tương tác; khoanh vùng các dịch vụ mạng lộ diện như DNS và DHCP để ngăn lây lan kiểu worm; và xác minh các bản sửa thủ công trên dịch vụ đám mây.

Các mối đe dọa không cần tương tác

Đợt vá này có hai mối đe dọa zero-click (khai thác không cần người dùng thao tác): CVE-2026-116928 và CVE-2026-119958, đều ở mức nghiêm trọng với điểm CVSS 9,8.

CVE-2026-116928 là lỗ hổng ghi ngoài biên (out-of-bounds write) trong thành phần Windows Search, có thể dẫn tới thực thi mã từ xa. Kẻ tấn công chưa xác thực có thể lợi dụng tính năng tìm kiếm trong Exchange bằng cách gửi email chứa tệp đính kèm được tạo đặc biệt. Exchange tự động xử lý tệp đính kèm để đánh chỉ mục, nên người nhận không cần mở email hay tệp đính kèm. Khai thác thành công có thể cho phép kẻ tấn công thực thi mã với quyền của dịch vụ xử lý bị ảnh hưởng.

CVE-2026-119958 là lỗ hổng ghi ngoài biên trong phần triển khai LDAP của Windows, cho phép kẻ tấn công chưa xác thực thực thi mã từ xa mà không cần người dùng tương tác. Lỗ hổng có thể bị khai thác bằng cách gửi các yêu cầu LDAP được tạo đặc biệt tới hệ thống dễ tổn thương, có khả năng xâm nhập Domain Controller.

Childs còn liệt kê 30 lỗ hổng mang "rủi ro lây lan kiểu worm", tức không cần xác thực và không cần người dùng tương tác qua mạng. Toàn bộ danh sách nằm trong blog của ông, và cũng nên được ưu tiên vá.

Thêm lỗ hổng nghiêm trọng ở Xbox

Cuối cùng, một lỗ hổng nghiêm trọng trong dịch vụ Windows Xbox Live Networking Service, mã hiệu CVE-2026-112967, có thể cho phép thực thi mã từ xa cũng nằm trong danh sách tháng này. Đây là lỗ hổng tràn bộ nhớ heap (heap overflow) với điểm CVSS 9,8, không cần xác thực hay tương tác người dùng để khai thác.

Vì vậy, đừng tranh thủ chơi game trong lúc kiểm thử các bản cập nhật tháng 11 — hoặc nếu có, hãy chắc chắn rằng các hệ thống Windows đang chạy Xbox Live Networking Service cũng nằm trong danh sách cần vá.

Góc nhìn

Con số hơn 1.000 lỗ hổng mỗi tháng đang trở thành "bình thường mới", và điều đó đặt áp lực lớn lên các đội ngũ quản trị hệ thống tại Việt Nam — những nơi thường có nhân sự bảo mật mỏng. Khi số lượng lỗ hổng quá lớn để vá hết ngay, cách tiếp cận thực tế là ưu tiên theo mức độ rủi ro thay vì chạy theo con số: xử lý trước các lỗ hổng đang bị khai thác, các lỗ hổng zero-click và những lỗ hổng có thể lây lan trên diện rộng.

Với các doanh nghiệp dùng Exchange hoặc Active Directory, hai lỗ hổng LDAP và Windows Search trong đợt này đáng được đặt lên đầu danh sách. Việc duy trì quy trình vá lỗi định kỳ, giám sát các dịch vụ lộ diện ra internet và kiểm tra cấu hình trên môi trường đám mây sẽ hiệu quả hơn nhiều so với việc cố gắng bám đuổi từng bản vá khi khối lượng đã vượt quá khả năng xử lý thủ công.