Kỷ lục Patch Tuesday Microsoft: nhiều lỗ hổng hơn không có nghĩa bạn được phép hoảng loạn
Patch Tuesday Microsoft là đợt phát hành bản vá bảo mật định kỳ, trong đó hãng tập trung khắc phục các lỗ hổng bảo mật CVE trên Windows, Office và những sản phẩm liên quan, giúp giảm nguy cơ bị tấn công và duy trì an toàn cho hệ thống của người dùng cá nhân lẫn doanh nghiệp.
Trong Patch Tuesday tháng 10, Microsoft xử lý tới 1.408 lỗ hổng bảo mật CVE, mức cao nhất từ trước đến nay, với 72 lỗ hổng được đánh giá ở mức nghiêm trọng và đều cần người dùng hành động cập nhật. Con số này nghe đáng sợ, nhưng điều quan trọng không phải là đếm bao nhiêu lỗi, mà là hiểu lỗi nào đang bị khai thác, ảnh hưởng đến ai và cần ưu tiên vá ra sao. Windows chịu tác động lớn nhất với 1.102 lỗ hổng được khắc phục, tiếp theo là bộ ứng dụng Office với 134 lỗ hổng, các công cụ cho nhà phát triển với 61 lỗi, SharePoint Server với 36 lỗi và SQL Server với 22 lỗi. Nếu bạn là nhân viên văn phòng, đây chính là bộ công cụ bạn dùng mỗi ngày – nghĩa là bạn đang đứng trong vùng nguy cơ, dù có thể không hề biết.
Từ Windows Shell đến SharePoint: khi lỗ hổng “không bị khai thác” vẫn trở thành mồi ngon
Trong hơn 1.400 lỗ hổng, điều đáng lo nhất không phải số lượng mà là việc đã có lỗi bị khai thác ngoài đời thực. CVE-2026-96951 là lỗ hổng trên Windows Shell cho phép vượt qua cơ chế bảo mật Mark of the Web, vốn dùng để cảnh báo và chặn nội dung nguy hiểm tải từ Internet. Thông tin công bố cho thấy lỗ hổng này đã bị tin tặc khai thác, nên việc triển khai bản vá không còn là lựa chọn, mà là yêu cầu bắt buộc nếu hệ thống của bạn bị ảnh hưởng.
Không dừng lại ở đó, một lỗ hổng SharePoint Server khác là CVE-2026-65660, dù đã được vá từ tháng 8 và từng được đánh dấu là chưa bị khai thác, lại được báo cáo đang bị tấn công từ ngày 25-9. Điều này cho thấy nhãn “chưa bị khai thác” không phải tấm bùa an toàn lâu dài. Với môi trường doanh nghiệp phụ thuộc SharePoint để chia sẻ tài liệu, chỉ một máy chủ chưa cập nhật cũng có thể trở thành cửa hậu cho toàn bộ mạng nội bộ. Thực tế này đặt ra yêu cầu mới: không thể trì hoãn cập nhật chỉ vì hệ thống “vẫn đang chạy ổn”.
31.000 phishing email Microsoft: khi thư xác thực “chính chủ” cũng có thể là bẫy
Song song với làn sóng bản vá, mặt trận email cũng nóng không kém. Một chiến dịch tấn công giả mạo (phishing) quy mô lớn với hơn 31.000 email độc hại mượn danh cơ chế xác thực từ Microsoft đã bị phát hiện và ngăn chặn chỉ trong khoảng 7 tuần, từ 1-8 đến 18-9. Điểm đáng sợ là kẻ tấn công không còn dùng tên miền giả giống giống nữa, mà tận dụng chính dịch vụ và đường dẫn hợp pháp của Microsoft để chuyển hướng nạn nhân sang trang web độc hại hoặc tự động cài mã độc.
Email lừa đảo được ngụy trang thành thông báo hệ thống, thúc giục người nhận “ký duyệt tài liệu điện tử” hoặc “cập nhật thông tin đăng nhập khẩn cấp”. Thậm chí, chúng còn lợi dụng tính năng gửi mã xác thực: nạn nhân nhận được email chứa mã do máy chủ Microsoft gửi hoàn toàn hợp lệ, nhưng phần tiêu đề và chữ ký lại chứa nội dung dẫn dụ độc hại. Khi phishing email Microsoft đã núp bóng “chính chủ” như vậy, mọi mẹo cũ kiểu nhìn tên miền, soi lỗi chính tả gần như mất tác dụng. Nếu bạn vẫn tin rằng “mail từ hệ thống thì chắc chắn an toàn”, bạn đang là mục tiêu lý tưởng.
Nhân viên văn phòng cần làm gì: 4 thói quen bắt buộc để không trở thành mắt xích yếu
Trong bối cảnh bản vá dồn dập và phishing ngày càng tinh vi, bảo mật không còn là việc riêng của bộ phận IT. Mỗi nhân viên văn phòng đều phải thay đổi thói quen. Trước hết, hãy cập nhật hệ điều hành và bộ ứng dụng làm việc: Microsoft đã phát hành bản cập nhật Patch Tuesday tháng 10 để khắc phục hơn 1.400 lỗ hổng trên Windows, Office, SharePoint Server và nhiều sản phẩm khác. Người dùng cá nhân và doanh nghiệp nên kiểm tra các bản cập nhật có sẵn, ưu tiên những lỗi đã bị khai thác và bảo đảm hệ điều hành vẫn nằm trong thời gian được hỗ trợ.
Với email, nguyên tắc vàng là: nếu bạn không chủ động đăng ký dịch vụ hay yêu cầu đặt lại mật khẩu, tuyệt đối không bấm vào các đường link xác thực trong thư. Thay vào đó, hãy tự gõ địa chỉ dịch vụ trên trình duyệt rồi đăng nhập từ đó, thay vì bấm link trong email. Do thủ đoạn núp bóng chính chủ rất khó phát hiện thủ công, người dùng và doanh nghiệp nên bật xác thực đa yếu tố an toàn, đồng thời dùng giải pháp bảo mật có tính năng chống lừa đảo ứng dụng AI và máy học để tự động phân tích hành vi bất thường của luồng dữ liệu. Nếu gặp lỗi Remote Desktop trên Windows 11 khi bật Administrator protection, có thể tạm thời tắt tính năng này theo khuyến nghị cho đến khi có bản sửa lỗi trong cập nhật sau.
Kết luận: đừng đợi bị tấn công mới quan tâm đến cập nhật Office bảo mật
Kỷ lục 1.408 lỗ hổng bảo mật CVE trong một tháng không phải là dấu hiệu Microsoft “kém an toàn” mà là bằng chứng cho thấy việc phát hiện và vá lỗi đang diễn ra quyết liệt hơn. Nhưng bản vá chỉ có ý nghĩa khi người dùng chịu cập nhật và thay đổi thói quen. Lỗ hổng Windows Shell đã bị khai thác, lỗ hổng SharePoint từng được coi là “chưa bị tấn công” rồi cũng trở thành mục tiêu, còn phishing email Microsoft thì lợi dụng chính cơ chế xác thực hợp pháp để qua mặt người dùng.
Nếu bạn là nhân viên văn phòng, việc cập nhật Office bảo mật, bật xác thực đa yếu tố và kiểm tra kỹ mọi email yêu cầu “xác minh”, “ký duyệt”, “cập nhật khẩn” không còn là lời khuyên chung chung, mà là hàng rào cuối cùng bảo vệ tài khoản, dữ liệu cá nhân và cả doanh nghiệp. Đừng chờ đến khi một cú click nhầm khiến cả phòng ban phải ngồi khôi phục dữ liệu mới nhận ra rằng, cập nhật và cảnh giác luôn rẻ hơn rất nhiều so với hậu quả của một lần bị tấn công.
