Tập đoàn Microsoft vừa chính thức phát hành đợt cập nhật quy mô lớn nhằm khắc phục hơn 1.400 lỗ hổng bảo mật trên các hệ điều hành Windows cùng nhiều phần mềm khác. Số lượng bản vá lần này vượt xa kỷ lục gần 1.000 lỗi được xử lý vào tháng 9 – thời điểm vốn đã cao gấp 10 lần so với khối lượng cập nhật hàng tháng thông thường của hãng.
Đáng chú ý, trong số các điểm yếu được vá đợt này có một lỗ hổng "zero-day" đang bị khai thác trong thực tế. Mang mã hiệu CVE-2026-96951, đây là lỗi vượt qua tính năng bảo mật trong Windows Shell, ảnh hưởng trực tiếp đến người dùng Windows 10, Windows 11 và một số phiên bản Windows Server.
Liên quan đến hệ điều hành Windows 10, Microsoft ban đầu dự kiến chấm dứt hỗ trợ vào tháng 10 năm 2025. Tuy nhiên, trước sự phản đối từ người dùng, công ty đã bổ sung thêm một năm cập nhật miễn phí. Cách đây vài tháng, Microsoft tiếp tục âm thầm kéo dài thời hạn hỗ trợ thêm một năm nữa, đưa mốc thời gian nhận bản vá bảo mật cho Windows 10 đến tháng 10 năm 2027.
Bản cập nhật tháng này ghi nhận ít nhất 78 lỗ hổng được xếp loại "nghiêm trọng" (critical). Kẻ tấn công có thể lợi dụng những điểm yếu này để thực thi mã tùy ý trên hệ thống mà không cần hoặc chỉ cần rất ít sự tương tác từ phía người dùng. Ngoài ra, một lỗ hổng vượt qua tính năng bảo mật trong .NET Framework (CVE-2026-108398) cũng đã bị tiết lộ công khai trước đó. Dù Microsoft khẳng định chưa ghi nhận dấu hiệu bị khai thác thực tế, việc công bố thông tin sớm vẫn tạo điều kiện cho các đối tượng xấu nghiên cứu phương thức tấn công.
Ông Satnam Narang từ công ty bảo mật Tenable cho biết, số lượng lỗ hổng được xử lý trong tháng này vượt xa tổng số bản vá của cả năm 2020 – năm kỷ lục trước đó với 1.261 mã CVE. Ông nhấn mạnh rằng tổng số lỗ hổng được khắc phục trong năm nay đã vượt mốc 4.000 CVE dù vẫn còn hai tháng nữa mới kết thúc năm.
Microsoft ghi nhận đóng góp của các mô hình ngôn ngữ lớn (LLM) trong việc phát hiện lượng lớn lỗ hổng, đồng thời Trí tuệ nhân tạo (AI) được cho là đã hỗ trợ tạo ra nhiều bản vá trong số này. Dù vậy, giới chuyên gia cảnh báo các đợt phát hành bản vá kỷ lục của Microsoft đang tạo áp lực không nhỏ lên các đội ngũ an toàn thông tin doanh nghiệp. Họ phải thực hiện kiểm thử kỹ lưỡng từng bản cập nhật trước khi triển khai trên toàn hệ thống để tránh nguy cơ gây xung đột phần mềm.
Ông Tyler Reguly, Phó Giám đốc nghiên cứu và phát triển bảo mật tại Fortra, chỉ ra rằng từ đầu năm đến nay chỉ có 26 lỗ hổng của Microsoft xuất hiện trong danh mục "Lỗ hổng bị khai thác đã biết" (KEV) của Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA). Do đó, ông khuyến nghị các tổ chức nên ưu tiên xử lý 26 lỗ hổng này trước để tối ưu hóa nguồn lực.
Để xác định các điểm yếu cần ưu tiên bảo vệ, các tổ chức có thể tham khảo báo cáo phân tích chi tiết từ Cisco Talos hoặc danh mục tổng hợp phân loại theo độ nghiêm trọng và mã CVE từ SANS Internet Storm Center.
