Microsoft vá CVE-2026-96951 sau khi lỗ hổng Windows Shell bị khai thác
Lỗ hổng chèn lệnh có điểm CVSS 8,8, ảnh hưởng nhiều bản Windows và cần người dùng tương tác. CISA đã đưa mã lỗi vào danh mục KEV ngay ngày 13/10.
Microsoft ngày 13/10 phát hành bản vá cho CVE-2026-96951, lỗ hổng Windows Shell cho phép kẻ tấn công không cần tài khoản vượt qua một cơ chế bảo mật bằng nội dung được tạo đặc biệt. Microsoft xác nhận lỗi đã bị khai thác ngoài thực tế; Cơ quan An ninh mạng và Hạ tầng Mỹ, CISA, đưa nó vào danh mục Known Exploited Vulnerabilities trong cùng ngày.
Lỗ hổng có điểm CVSS 3.1 là 8,8, mức cao. Vector cho biết cuộc tấn công có thể bắt đầu qua mạng, độ phức tạp thấp, không cần đặc quyền trước đó nhưng phải có tương tác của người dùng. Đây là điều kiện quan trọng: mã lỗi không tự động xâm nhập mọi máy Windows có kết nối internet, song việc đã có khai thác thật khiến vá lỗi cần được ưu tiên hơn một điểm số lý thuyết.
Ảnh minh họa: Canadian Centre for Cyber Security.
Lỗi nằm ở cách Windows Shell xử lý thành phần đặc biệt
Bản ghi CVE do Microsoft phát hành mô tả việc không trung hòa đúng các thành phần đặc biệt dùng trong lệnh, thuộc nhóm CWE-77. Kẻ tấn công có thể chèn lệnh để vượt qua một tính năng bảo mật của Windows Shell. Vector CVSS đánh giá tác động tiềm năng tới tính bí mật, toàn vẹn và sẵn sàng đều ở mức cao.
Cisco Snort mô tả kịch bản có tệp từ web nhưng dấu hiệu nguồn gốc không được thể hiện đúng; người dùng tương tác với tệp có thể dẫn tới thực thi lệnh. Microsoft chưa công khai toàn bộ chuỗi khai thác, loại tệp được dùng trong các vụ thật, quy mô nạn nhân hoặc bên đứng sau chiến dịch. Vì vậy, không nên biến mô tả kỹ thuật khái quát thành một kịch bản chắc chắn cho mọi vụ tấn công.
Phạm vi ảnh hưởng trải từ Windows 10 tới Server 2025
Danh sách sản phẩm gồm nhiều nhánh Windows 10, Windows 11 từ 23H2 tới 26H2, Windows Server 2012 R2, 2016, 2019, 2022 và 2025, bao gồm một số bản Server Core. Bản ghi cũng liệt kê Outlook.com trước một phiên bản dịch vụ nhất định. Mỗi nhánh hệ điều hành có mức build đã vá riêng, nên quản trị viên không nên đối chiếu bằng một số KB duy nhất cho toàn bộ đội máy.
CVE-2026-96951 nổi bật trong đợt cập nhật tháng 10 vì có bằng chứng khai thác. Các cơ quan an ninh mạng khuyến nghị cài bản vá cần thiết theo hướng dẫn Microsoft.
Cần vá theo tài sản và xác nhận kết quả, không chỉ bấm cập nhật
Đối với máy cá nhân còn được hỗ trợ, bước trực tiếp là mở Windows Update, cài bản cập nhật bảo mật tháng 10 và khởi động lại khi được yêu cầu. Sau đó cần kiểm tra lịch sử cập nhật và số build thay vì giả định việc tải xuống đồng nghĩa cài thành công.
Doanh nghiệp nên lập danh sách thiết bị theo phiên bản, triển khai qua công cụ quản lý như Intune hoặc WSUS, rồi theo dõi tỷ lệ hoàn tất. Máy chủ và máy đầu cuối có tài khoản đặc quyền cao cần ưu tiên vì hậu quả của một lệnh chạy dưới tài khoản mạnh có thể lớn hơn. Các hệ thống hết vòng đời hoặc bị cô lập khỏi quy trình cập nhật cần được đánh dấu riêng để nâng cấp, bù trừ bằng kiểm soát khác hoặc tách mạng.
Vì khai thác cần người dùng tương tác, lọc tệp và đường dẫn đáng ngờ, bảo vệ email, giới hạn quyền tài khoản và bật các tính năng chống khai thác vẫn có giá trị. Những biện pháp này giảm bề mặt tấn công nhưng không thay thế bản vá của nhà cung cấp.
Việc vào danh mục KEV thay đổi thứ tự ưu tiên
Danh mục KEV của CISA không phải danh sách mọi lỗi nghiêm trọng; nó tập trung vào lỗ hổng có bằng chứng đã bị khai thác. Với các cơ quan liên bang Mỹ chịu chỉ thị của CISA, việc xuất hiện trong KEV tạo nghĩa vụ xử lý theo mốc do cơ quan đặt ra. Các tổ chức khác không nhất thiết chịu cùng quy định, nhưng có thể dùng tín hiệu này để đẩy lỗi lên trước những CVE chưa có hoạt động tấn công xác nhận.
Điểm CVSS 8,8 vẫn cần đọc cùng bối cảnh. Người dùng phải thực hiện một hành động, nhưng kẻ tấn công không cần đặc quyền và lỗi đã được dùng thật. Mức ưu tiên cuối cùng còn phụ thuộc tài sản có bị nhắm tới, khả năng nhận nội dung bên ngoài, quyền của người dùng và hiệu quả giám sát.
Những điều Microsoft chưa công bố
Ở thời điểm phát hành bản vá, chưa có dữ liệu công khai về số vụ, ngành bị nhắm, mã khai thác mẫu hoặc mối liên hệ với một nhóm tấn công. Điều đó giới hạn khả năng xây chỉ dấu phát hiện chi tiết từ thông tin công khai. Quản trị viên nên theo dõi Security Update Guide, CISA KEV và thông báo của nhà cung cấp công cụ bảo mật để nhận bổ sung.
Không cần chờ toàn bộ chiến dịch được giải mã: hãy kiểm kê bản Windows, triển khai đúng gói cập nhật và xác nhận máy đã ở build an toàn. Với lỗi đang bị khai thác, phải chứng minh bản vá đã tới đúng thiết bị.
