Microsoft đã phát hành các bản cập nhật Patch Tuesday tháng 11/2026, sửa 1.093 lỗ hổng mới công bố trên Windows, Office, SQL Server, SharePoint, Exchange Server, các dịch vụ Azure và công cụ dành cho nhà phát triển. Bản phát hành có một zero-day đang bị khai thác trong Microsoft Outlook, có thể làm rò rỉ mã băm xác thực NTLMv2 của người dùng cho kẻ tấn công. Trong số các lỗ hổng mới công bố, có 63 lỗi mức Critical, 1.029 lỗi mức Important và một lỗi mức Moderate.
Phân loại theo kiểu lỗ hổng
Theo thống kê của bài viết, 1.093 lỗ hổng gồm 535 lỗi leo thang đặc quyền, 296 lỗi thực thi mã từ xa, 156 lỗi lộ thông tin, 46 lỗi từ chối dịch vụ, 27 lỗi vượt qua tính năng bảo mật, 22 lỗi giả mạo và 11 lỗi can thiệp dữ liệu. Bài viết lưu ý rằng khi thống kê Patch Tuesday, họ chỉ tính các lỗ hổng Microsoft công bố đúng ngày Patch Tuesday, không tính các bản sửa được phát hành sớm hơn trong tháng.
Zero-day Outlook: CVE-2026-124194
CVE-2026-124194 là lỗ hổng giả mạo (spoofing) trong Microsoft Outlook đang bị khai thác, có thể làm lộ mã băm xác thực NTLMv2 của người dùng. Microsoft xếp lỗi này mức Moderate với điểm CVSS 6.5, và xác định nguyên nhân gốc là thiếu cảnh báo về hành động không an toàn (CWE-356).
Theo thông báo của Microsoft, kẻ tấn công không cần xác thực có thể gửi một tệp thư được chế tạo đặc biệt và lừa người nhận mở bằng Outlook. Việc mở tệp có thể khiến Outlook kết nối tới một vị trí mạng do kẻ tấn công kiểm soát mà không hiển thị cảnh báo nội dung bên ngoài thông thường. Kết nối này có thể làm lộ thông tin xác thực, và thông tin đó có thể được dùng để mạo danh nạn nhân.
Phân loại theo kiểu lỗ hổng
Theo thống kê của bài viết, 1.093 lỗ hổng gồm 535 lỗi leo thang đặc quyền, 296 lỗi thực thi mã từ xa, 156 lỗi lộ thông tin, 46 lỗi từ chối dịch vụ, 27 lỗi vượt qua tính năng bảo mật, 22 lỗi giả mạo và 11 lỗi can thiệp dữ liệu. Bài viết lưu ý rằng khi thống kê Patch Tuesday, họ chỉ tính các lỗ hổng Microsoft công bố đúng ngày Patch Tuesday, không tính các bản sửa được phát hành sớm hơn trong tháng.
Zero-day Outlook: CVE-2026-124194
CVE-2026-124194 là lỗ hổng giả mạo (spoofing) trong Microsoft Outlook đang bị khai thác, có thể làm lộ mã băm xác thực NTLMv2 của người dùng. Microsoft xếp lỗi này mức Moderate với điểm CVSS 6.5, và xác định nguyên nhân gốc là thiếu cảnh báo về hành động không an toàn (CWE-356).
Theo thông báo của Microsoft, kẻ tấn công không cần xác thực có thể gửi một tệp thư được chế tạo đặc biệt và lừa người nhận mở bằng Outlook. Việc mở tệp có thể khiến Outlook kết nối tới một vị trí mạng do kẻ tấn công kiểm soát mà không hiển thị cảnh báo nội dung bên ngoài thông thường. Kết nối này có thể làm lộ thông tin xác thực, và thông tin đó có thể được dùng để mạo danh nạn nhân.
Việc khai thác đòi hỏi người dùng phải mở tệp độc hại và máy có kết nối mạng. Ngăn xem trước (Preview Pane) không phải là vector tấn công. Microsoft xác nhận đã có các cuộc tấn công xảy ra, nhưng thông báo không nêu danh tính kẻ tấn công, nạn nhân hay quy mô khai thác.
Các sản phẩm bị ảnh hưởng gồm phiên bản 32-bit và 64-bit của Office LTSC 2021, Office LTSC 2024 và Microsoft 365 Apps for Enterprise. Quản trị viên nên ưu tiên áp dụng các bản cập nhật tương ứng vì việc khai thác đang diễn ra, dù lỗi chỉ được xếp mức Moderate. Cùng đợt phát hành, CVE-2026-124227 và CVE-2026-124228 là hai lỗi thực thi mã trong Outlook xếp mức Important, đều chưa bị đánh dấu là đã bị khai thác.
Các lỗ hổng Critical đáng chú ý
Trong 63 lỗi Critical, có 48 lỗi thực thi mã từ xa và 15 lỗi leo thang đặc quyền. Riêng Excel có 12 bản sửa mức Critical, Word có bốn và PowerPoint có một. Outlook cũng nhận ba bản sửa lỗi thực thi mã mức Critical, gồm CVE-2026-111309, CVE-2026-110068 và CVE-2026-110043, đều chưa bị đánh dấu là đã bị khai thác.
Ở phía Windows, Hyper-V có tám lỗi leo thang đặc quyền mức Critical, đáng chú ý với các máy chủ đám mây và máy chủ ảo hóa. Message Queuing có năm lỗi thực thi mã mức Critical ở phần lõi và Queue Manager. Các bản sửa quan trọng khác cho máy chủ gồm CVE-2026-113825 trong trình điều khiển truyền tải SMB Server (srvnet.sys), CVE-2026-113859 trong TCP/IP, CVE-2026-118207 trong Exchange Server và CVE-2026-119958 trong LDAP. Microsoft cũng vá các lỗi Critical trong Schannel, CredSSP, IIS, Print Spooler, Active Directory Domain Services và Remote Procedure Call Runtime.
Về dịch vụ đám mây và sản phẩm bảo mật, Azure OpenAI (CVE-2026-119990) và Azure Managed Grafana (CVE-2026-114160) mỗi sản phẩm nhận một bản sửa lỗi leo thang đặc quyền mức Critical, còn Microsoft Defender nhận bản sửa lỗi thực thi mã mức Critical mang mã CVE-2026-122194.
Nhận định chuyên môn
Mức điểm và mức nghiêm trọng chỉ phản ánh tiềm năng thiệt hại về mặt kỹ thuật, không cho biết kẻ tấn công đã bắt đầu dùng lỗi đó hay chưa. Zero-day Outlook lần này là ví dụ rõ ràng: lỗi chỉ xếp Moderate, điểm 6.5, nhưng đã có tấn công thực tế, trong khi hàng chục lỗi Critical khác trong cùng đợt chưa bị đánh dấu là bị khai thác. Bài viết cũng nhắc đến vụ zero-day Windows Shell từng bị khai thác như một ví dụ khác cho thấy trạng thái khai thác cần được xem xét cùng với mức độ nghiêm trọng. Việc ưu tiên vá nên dựa vào cả hai yếu tố này.
