Microsoft đã lập kỷ lục mới trong ngày vá lỗi Patch Tuesday khi công bố khắc phục tới 974 lỗ hổng bảo mật trên toàn bộ danh mục phần mềm của mình vào thứ Ba vừa qua, trong đó có hai lỗ hổng được xác nhận đã bị khai thác tích cực ngoài thực tế.

Cụ thể, có 723 lỗ hổng trên Windows, 111 trên Office và Office 2016, 62 trên SQL và 22 trên Developer Tools. Trong số này, hơn 110 lỗ hổng được đánh giá ở mức nghiêm trọng.

Ba loại lỗ hổng nổi bật gồm leo thang đặc quyền, thực thi mã từ xa và rò rỉ thông tin chiếm gần 90% tổng số lỗ hổng được vá trong tháng này. Cùng với việc Microsoft khắc phục 25 lỗ hổng CVE không thuộc Microsoft, tổng số lỗ hổng được xử lý trong đợt cập nhật này lên tới 999.

Bản vá bảo mật kỷ lục của tháng 9 được đưa ra sau khi Microsoft đã xử lý 457 lỗ hổng trong tháng 8, 663 trong tháng 7, 220 trong tháng 6 và 161 trong tháng 5.

Jack Bicer, Giám đốc nghiên cứu lỗ hổng tại Action1, nhận địn: "Với quy mô này, thách thức không chỉ là rà soát hết danh sách bản vá mà còn là xác định đâu là vấn đề cần ưu tiên xử lý trước. Khi hàng trăm bản cập nhật được tung ra cùng lúc, các đội ngũ CNTT và an ninh mạng cần nhanh chóng phân loại những lỗ hổng đòi hỏi hành động tức thì với những lỗ hổng có thể xử lý theo chu kỳ triển khai thông thường."

Một mặt, số lượng các lỗi bảo mật này cho thấy hiệu suất của các công cụ AI mà Microsoft sử dụng để tìm lỗi, mặt khác, điều này cũng cho thấy vấn đề của Windows mà lâu nay họ không muốn thừa nhận.

"Với một khối lượng khổng lồ các dòng code, Windows ngoài nặng nề ra còn đầy rẫy những lỗi. Có hàng trăm trong số đó là các lỗ hổng zero-day, Microsoft cần phải làm gì đó để hệ điều hành của họ gọn gàng hơn, dễ kiểm soát lỗi hơn". - Jack Bicer nói thêm.

Hai lỗ hổng đã bị khai thác tích cực được liệt kê gồm CVE-2026-85880 (điểm CVSS: 7.8). Lỗ hổng tràn bộ đệm trên heap trong Windows Advanced Local Procedure Call (ALPC) cho phép kẻ tấn công đã được cấp quyền nâng cấp đặc quyền cục bộ lên mức SYSTEM.

Với CVE-2026-81963 (điểm CVSS: 7.8), lỗ hổng xử lý liên kết không đúng trong Windows Update Stack cho phép kẻ tấn công đã được cấp quyền nâng cấp đặc quyền cục bộ lên mức SYSTEM.

"Kẻ tấn công có thể thực thi mã trong AppContainer với quyền hạn thấp có thể khai thác lỗ hổng này để thoát khỏi sandbox và nâng cấp đặc quyền trên hệ thống bị ảnh hưởng," Microsoft cho biết trong khuyến cáo về CVE-2026-85880.

Ông Adam Barnett, kỹ sư phần mềm trưởng tại Rapid7, cho biết tất cả các phiên bản Windows được hỗ trợ đều nhận bản vá cho CVE-2026-81963, động thái "có lẽ nhằm siết chặt kiểm soát để ngăn Windows Update Stack theo liên kết độc hại và ghi đè thành phần hệ thống bằng mã giả do kẻ tấn công kiểm soát."

Các công ty an ninh mạng Volexity và Proofpoint được ghi nhận đã báo cáo lỗ hổng CVE-2026-85880, trong khi ông Romain Deperne, chuyên gia nghiên cứu an ninh tấn công tại Airbus Helicopters, cùng Trung tâm Tình báo Đe dọa Microsoft (MSTIC) được ghi nhận với lỗ hổng thứ hai.

Microsoft cho biết đã phát hiện các hoạt động khai thác zero-day nhắm vào các lỗ hổng này, nhưng không tiết lộ chi tiết về thủ phạm, quy mô cũng như liệu các cuộc tấn công này đã thành công xâm nhập nạn nhân nào hay chưa.

Theo nền tảng quản lý phơi nhiễm và đánh giá lỗ hổng Tenable, đã có bảy lỗ hổng leo thang đặc quyền trong Windows Update Stack kể từ năm 2022. Tuy nhiên, CVE-2026-81963 là lỗ hổng zero-day đầu tiên cũng như đầu tiên bị khai thác ngoài thực tế. Đối với CVE-2026-85880, đây là lỗ hổng thứ hai bị vũ khí hóa dưới dạng zero-day kể từ CVE-2023-21674, được xử lý vào tháng 1/2023.

Diễn biến này đã khiến Cơ quan An ninh mạng và Hạ tầng Hoa Kỳ (CISA) bổ sung cả hai lỗ hổng vào danh mục Các lỗ hổng đã biết bị khai thác (KEV), yêu cầu các cơ quan thuộc Nhánh Hành pháp Dân sự Liên bang (FCEB) phải áp dụng bản vá trước ngày 22/9/2026.

Theo Sáng kiến Zero Day của TrendAI (ZDI), chỉ riêng trong năm nay, Microsoft đã vá tổng cộng 2.760 lỗ hổng bảo mật, cho thấy việc phát hiện lỗ hổng nhờ trí tuệ nhân tạo (AI) hỗ trợ sẽ còn tiếp tục gia tăng trong thời gian tới.

Dù số lượng bản vá rất lớn, số lỗ hổng thực sự ảnh hưởng đến phần lớn tổ chức vẫn khá thấp, chưa kể chưa ghi nhận sự gia tăng tương ứng các cuộc tấn công khai thác thực tế.