Microsoft vá 1.259 lỗ hổng, gồm lỗi Outlook đang bị khai thác có thể lộ hash NTLMv2

Microsoft vừa phát hành bản vá cho tổng cộng 1.259 lỗ hổng trong danh mục phần mềm của hãng. Đây là tháng thứ hai liên tiếp khối lượng bản vá vượt mốc 1.000 lỗi, cho thấy áp lực vá lỗi của Microsoft vẫn ở mức rất cao.

Phân bổ lỗ hổng theo sản phẩm

Trong số này có 726 lỗi thuộc Windows, 174 lỗi ở Office, 61 lỗi ở Developer Tools, 59 lỗi ở SQL Server, 53 lỗi ở một nhóm công cụ phát triển khác và 27 lỗi ở SharePoint Server. Bản vá cũng bao gồm 165 mã CVE không do Microsoft phát hành. Hơn 500 lỗi liên quan đến leo thang đặc quyền, tiếp theo là thực thi mã từ xa và rò rỉ thông tin.

Theo Satnam Narang, kỹ sư nghiên cứu cấp cao tại Tenable, với đợt sửa lỗi mới nhất, Microsoft đã xử lý hơn 5.100 CVE chỉ trong năm nay.

Lỗi Outlook đang bị khai thác

Đáng chú ý nhất là lỗ hổng bảo mật mức Moderate trong Microsoft Outlook (CVE-2026-124194, điểm CVSS 6.5) được Microsoft gắn cờ đang bị khai thác thực tế. Theo mô tả, giao diện Outlook không cảnh báo người dùng về các hành động không an toàn, cho phép kẻ tấn công chưa xác thực thực hiện giả mạo qua mạng.

Kẻ tấn công có thể gửi một tệp tin nhắn được tạo đặc biệt và dụ nạn nhân mở tệp đó bằng phiên bản Outlook bị ảnh hưởng. Khi đó, Outlook có thể kết nối tới một địa chỉ mạng do kẻ tấn công kiểm soát mà không hiển thị cảnh báo nội dung bên ngoài như thường lệ, từ đó có thể làm lộ thông tin xác thực như hash NTLMv2 và bị dùng để mạo danh người dùng.

Microsoft nhấn mạnh việc khai thác thành công đòi hỏi kết nối mạng và có tương tác của người dùng. Hãng ghi nhận công của nhà nghiên cứu Nono và Benoît Sevens của Anthropic (sử dụng Claude) trong việc phát hiện và báo cáo lỗi.

Đánh giá mức độ nguy hiểm

Jack Bicer, giám đốc nghiên cứu lỗ hổng tại Action1, nhận định email là cửa ngõ dễ nhất vào bất kỳ doanh nghiệp nào, và lỗi này biến một tệp bị mở thành danh tính bị đánh cắp. Một hash bị thu giữ có thể cho phép kẻ tấn công đăng nhập với tư cách nạn nhân, đọc dữ liệu và di chuyển sang các hệ thống khác mà nạn nhân truy cập được.

Theo ông Bicer, nhãn Moderate đánh giá thấp mức độ nguy hiểm của lỗi này: kẻ tấn công đã khai thác, chỉ cần một cú nhấp vào tệp email, và ảnh hưởng tới Outlook – ứng dụng gần như mọi tổ chức đều dùng.

Microsoft chưa quy hoạt động khai thác cho một nhóm tấn công cụ thể và cũng không cung cấp chi tiết kỹ thuật về cách lỗi bị khai thác ngoài thực tế. Thông báo cũng không nêu rõ việc phát hiện diễn ra trước hay sau khi kẻ tấn công bắt đầu khai thác.

Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) đã thêm lỗi này vào danh mục lỗ hổng đã bị khai thác (KEV), yêu cầu các cơ quan liên bang áp dụng bản vá trước ngày 24/11/2026.

Các lỗi đáng chú ý khác

Bản vá còn xử lý nhiều lỗi thực thi mã từ xa ảnh hưởng tới Windows Search (CVE-2026-116928), LDAP (CVE-2026-119958), Windows Schannel (CVE-2026-119952), Windows Virtual Filtering Platform (CVE-2026-95962) và Windows Xbox Live Networking Service (CVE-2026-112967), cùng một lỗi leo thang đặc quyền trong Azure OpenAI (CVE-2026-119990).

Jake Knott, trưởng bộ phận tình báo mối đe dọa tại watchTowr, cho rằng nhiều đội bảo mật chưa hồi phục sau tháng trước với dồn dập lỗ hổng nghiêm trọng và bản vá khẩn cấp, nay lại tiếp tục đối mặt một ngày vá lỗi mới. Các đội đang chịu áp lực khi phải xác định đâu là việc thực sự quan trọng giữa hàng loạt sự cố đòi hỏi xử lý ngay.

Ông khuyên nên ưu tiên theo thứ tự: bắt đầu với những gì thực sự phơi bày ra Internet, sau đó tới những lỗi đã bị khai thác ngoài thực tế, rồi mới đến phần còn lại. Trước khi hoảng loạn, cần kiểm tra xem tổ chức có dùng thành phần bị ảnh hưởng hay đáp ứng điều kiện để bị khai thác hay không.

Nguồn: The Hacker News