Cảnh Báo An Ninh Mạng: Các Lỗ Hổng Zero-Day Nghiêm Trọng Được Vá Tháng 10/2026

Cập nhật ngày 16/10/2026, tháng 10 năm nay đã chứng kiến một loạt các bản vá bảo mật quan trọng từ Microsoft và Ivanti, nhằm khắc phục các lỗ hổng zero-day nghiêm trọng đang bị khai thác tích cực. Những lỗ hổng này đe dọa nhiều hệ thống khác nhau, từ máy trạm Windows đến các thiết bị mạng quan trọng, đòi hỏi sự chú ý và hành động khẩn cấp từ các quản trị viên hệ thống và người dùng.

Trong bối cảnh các mối đe dọa an ninh mạng ngày càng tinh vi, việc hiểu rõ bản chất của các lỗ hổng này và tầm quan trọng của việc cập nhật kịp thời là yếu tố then chốt để bảo vệ dữ liệu và hạ tầng. Bài viết này sẽ đi sâu phân tích ba lỗ hổng zero-day nổi bật nhất được công bố và vá trong tháng 10/2026.

Lỗ Hổng Windows Shell Zero-Day: Vượt Qua Mark of the Web (CVE-2026-96951)

Microsoft đã phát hành bản vá cho CVE-2026-96951, một lỗ hổng zero-day nghiêm trọng trong Windows Shell với điểm CVSS là 8.8. Điều đáng lo ngại là lỗ hổng này đang bị khai thác tích cực trong thực tế. Nó cho phép kẻ tấn công vượt qua cơ chế Mark of the Web (MOTW), một tính năng bảo mật quan trọng của Windows được thiết kế để cảnh báo người dùng khi mở các tệp tin có nguồn gốc từ các nguồn không đáng tin cậy như internet hoặc email.

Khai thác thành công lỗ hổng này thường bắt đầu bằng các kỹ thuật social engineering. Kẻ tấn công sẽ lừa người dùng mở một tệp tin độc hại được chế tạo đặc biệt. Khi tệp tin được mở, mã độc có thể được thực thi mà không có bất kỳ cảnh báo bảo mật thông thường nào, dẫn đến việc thực thi mã trái phép trên hệ thống của nạn nhân. Cơ quan An ninh Cơ sở hạ tầng và An ninh Mạng Hoa Kỳ (CISA) đã thêm lỗ hổng này vào danh mục các lỗ hổng bị khai thác đã biết (Known Exploited Vulnerabilities), yêu cầu các cơ quan liên bang phải khắc phục khẩn cấp do mức độ rủi ro cao và bằng chứng khai thác thực tế.

windows vulnerability mark of the web social engineering — Ảnh: Digital Buggu / Pexels

Cơ Chế Khai Thác và Tác Động

Cơ chế Mark of the Web hoạt động bằng cách gắn một định danh đặc biệt vào các tệp tin tải xuống, giúp hệ điều hành biết rằng tệp tin đó cần được xử lý cẩn thận hơn. Tuy nhiên, CVE-2026-96951 đã tìm ra cách để bỏ qua kiểm tra này, khiến các tệp tin độc hại xuất hiện như thể chúng an toàn hoặc có nguồn gốc đáng tin cậy. Điều này đặc biệt nguy hiểm vì nó làm suy yếu một trong những lớp phòng thủ cơ bản nhất của Windows chống lại mã độc.

Tác động của việc khai thác có thể bao gồm từ việc cài đặt phần mềm độc hại, đánh cắp thông tin nhạy cảm đến kiểm soát hoàn toàn hệ thống bị ảnh hưởng. Đối với các tổ chức, một cuộc tấn công thành công có thể dẫn đến vi phạm dữ liệu nghiêm trọng và gián đoạn hoạt động.

Ivanti Connect Secure Bị Khai Thác: Thực Thi Mã Từ Xa Không Cần Xác Thực (CVE-2026-104935)

Ivanti đã công bố và vá lỗ hổng CVE-2026-104935, một lỗ hổng bỏ qua xác thực (authentication bypass) có mức độ nghiêm trọng cao (CVSS 8.6) trong các thiết bị Ivanti Connect Secure (ICS). Lỗ hổng này đã bị khai thác như một zero-day ít nhất từ ngày 1 tháng 10 năm 2026.

Kẻ tấn công từ xa không cần xác thực (unauthenticated remote attackers) có thể lợi dụng lỗ hổng này để vượt qua các biện pháp bảo mật và thực thi các lệnh tùy ý (execute arbitrary commands) trên các thiết bị VPN dễ bị tổn thương. Các nhóm tấn công như UTA0576 đã được quan sát thấy trong việc kết hợp lỗ hổng bỏ qua xác thực và thực thi mã từ xa này với một lỗ hổng zero-day leo thang đặc quyền (privilege escalation zero-day) riêng biệt để đạt được quyền truy cập cấp root mà không cần xác thực.

ivanti vpn remote code execution network security — Ảnh: Dan Nelson / Pexels

Hậu Quả Sau Khai Thác

Sau khi khai thác thành công, các hoạt động của kẻ tấn công bao gồm nhắm mục tiêu vào thông tin đăng nhập Active Directory, mật khẩu LAPS và khóa khôi phục BitLocker. Điều này cho thấy mức độ rủi ro cực kỳ nghiêm trọng đối với cơ sở hạ tầng mạng của các tổ chức sử dụng Ivanti Connect Secure. Việc mất quyền kiểm soát các thông tin nhạy cảm này có thể dẫn đến việc kiểm soát toàn bộ mạng lưới, đánh cắp dữ liệu quy mô lớn và gây ra những thiệt hại không thể phục hồi.

Nguy Cơ Thực Thi Mã Từ Xa Nghiêm Trọng Trong Windows DHCP Server (CVE-2026-96934)

Một phần của bản cập nhật Patch Tuesday tháng 10/2026, Microsoft cũng đã khắc phục CVE-2026-96934, một lỗ hổng Remote Code Execution (RCE) cực kỳ nghiêm trọng trong Windows DHCP Server với điểm CVSS cao nhất là 9.8. Lỗ hổng này cho phép một kẻ tấn công không cần xác thực (unauthenticated attacker) thực thi mã từ xa mà không cần bất kỳ tương tác nào từ người dùng.

Kẻ tấn công có thể đạt được điều này bằng cách gửi các gói tin được chế tạo đặc biệt (specially crafted packets) đến một máy chủ DHCP dễ bị tổn thương. Vấn đề cơ bản là một điều kiện use-after-free (CWE-416). Vì các máy chủ DHCP thường chạy với đặc quyền SYSTEM và là thành phần thiết yếu, đáng tin cậy của cơ sở hạ tầng mạng, việc khai thác thành công lỗ hổng này có thể dẫn đến sự xâm nhập mạng nghiêm trọng và toàn diện.

Tại Sao Lỗ Hổng DHCP Lại Nguy Hiểm Đến Vậy?

Máy chủ DHCP là trái tim của bất kỳ mạng nào, chịu trách nhiệm gán địa chỉ IP và các cấu hình mạng khác. Việc một kẻ tấn công có thể thực thi mã trên máy chủ DHCP với quyền SYSTEM mà không cần xác thực là một kịch bản ác mộng. Điều này có thể cho phép kẻ tấn công kiểm soát hoàn toàn dịch vụ DHCP, chuyển hướng lưu lượng truy cập, thực hiện các cuộc tấn công trung gian (man-in-the-middle) hoặc thậm chí triển khai mã độc trên các máy khách kết nối với mạng.

Tầm Quan Trọng Của Việc Vá Lỗi Kịp Thời và Các Biện Pháp Phòng Ngừa

Các lỗ hổng zero-day được phát hiện và vá trong tháng 10/2026 là lời nhắc nhở rõ ràng về sự nguy hiểm và liên tục của các mối đe dọa an ninh mạng. Việc khai thác tích cực các lỗ hổng này nhấn mạnh sự cần thiết của việc cập nhật phần mềm ngay lập tức và duy trì một tư thế an ninh mạng mạnh mẽ.

Các tổ chức và cá nhân nên thực hiện các bước sau để giảm thiểu rủi ro:

Cập nhật phần mềm ngay lập tức: Đảm bảo rằng tất cả các hệ thống Windows và thiết bị Ivanti Connect Secure đều được áp dụng các bản vá bảo mật mới nhất càng sớm càng tốt.
Tăng cường nhận thức người dùng: Đào tạo người dùng về các mối đe dọa social engineering và cách nhận biết các tệp tin hoặc liên kết đáng ngờ.
Phân đoạn mạng: Triển khai phân đoạn mạng để hạn chế sự lây lan của các cuộc tấn công nếu một hệ thống bị xâm nhập.
Giám sát liên tục: Thực hiện giám sát mạng và hệ thống liên tục để phát hiện các hoạt động bất thường hoặc dấu hiệu của sự xâm nhập.
Sao lưu dữ liệu: Thường xuyên sao lưu dữ liệu quan trọng và kiểm tra khả năng khôi phục.

Việc chủ động trong bảo mật không chỉ là phản ứng với các mối đe dọa mà còn là việc xây dựng một hệ thống phòng thủ vững chắc để chống lại các cuộc tấn công trong tương lai.