Microsoft phát hành đợt Patch Tuesday tháng 10/2026 vào ngày 13/10 với số lỗ hổng lớn nhất từ trước tới nay. Riêng tháng này đã vượt kỷ lục cả năm 1.261 CVE mà hãng lập vào năm 2020. Trong đó có một zero-day đang bị khai thác thật, CVE-2026-96951, và hai lỗi đã bị công bố trước khi có bản vá.

Tóm tắt nhanh

  • Ai bị ảnh hưởng: mọi hệ thống Windows còn được hỗ trợ, gồm Windows 10 (ESU), Windows 11 và Windows Server, cùng Office, SharePoint, .NET và Visual Studio.
  • Mức độ: BleepingComputer đếm 70 lỗi mức Critical, phần lớn là thực thi mã từ xa (RCE).
  • Đã bị khai thác chưa: có. CVE-2026-96951 (CVSS 8.8) bị khai thác ngoài thực tế. CISA đưa lỗi này vào danh mục KEV ngay ngày 13/10 và yêu cầu các cơ quan liên bang Mỹ vá trước ngày 16/10.

Con số không thống nhất giữa các nguồn

Các trang tin đếm theo cách khác nhau nên tổng số lỗ hổng không khớp. BleepingComputer ghi 1.411 lỗi, không tính 348 lỗi đã vá sớm hơn trong tháng. SecurityWeek, CyberScoop và TechRepublic ghi 1.413 CVE. SecurityOnline ghi 1.414. Theo SecurityWeek, có 1.102 lỗi thuộc Windows, 134 lỗi thuộc Office, 61 lỗi thuộc công cụ cho lập trình viên và 36 lỗi thuộc SharePoint Server. SecurityWeek cho rằng số lượng tăng vọt phần lớn do các công cụ AI giúp tìm lỗi nhanh hơn.

Microsoft cũng thử nghiệm cách phân nhóm mới gọi là "risk cohorts": gom các CVE cần đánh giá giống nhau vào một nhóm để quản trị viên dễ ưu tiên. Hãng nhấn mạnh rằng các nhóm này không phản ánh mức nguy hiểm, chỉ là điểm khởi đầu để đánh giá.

Ba zero-day trong đợt vá

CVE-2026-96951: vượt Mark of the Web trong Windows Shell (đang bị khai thác)

Mark of the Web (MotW) là nhãn Windows gắn cho tệp tải từ Internet. Nhờ nhãn này mà SmartScreen và Office hiện cảnh báo hoặc mở tệp ở chế độ hạn chế. CVE-2026-96951 cho phép kẻ tấn công né cơ chế đó. Theo BleepingComputer, nguyên nhân là lỗi chèn lệnh (command injection). Microsoft cho biết kẻ tấn công phải dụ người dùng mở một tệp được chế tạo đặc biệt. SecurityWeek ghi nhận lỗi do các nhà nghiên cứu của Fujitsu, Anthropic và một chuyên gia độc lập báo cáo riêng rẽ. Microsoft chưa công bố chi tiết về các vụ tấn công.

CVE-2026-108398: vượt WDAC trong .NET Framework (đã công bố trước)

Lỗi đường dẫn tìm kiếm không tin cậy (untrusted search path), mức Important. Kẻ tấn công cục bộ đã xác thực có thể vượt qua Windows Defender Application Control (WDAC) và chạy mã trong tiến trình được bảo vệ. Người phát hiện là James Forshaw của Google Project Zero. Microsoft đánh giá khả năng bị khai thác là thấp.

CVE-2026-92707: từ chối dịch vụ trong MessagePack-CSharp (đã công bố trước)

Lỗi cấp phát bộ nhớ không kiểm soát trong thư viện MessagePack-CSharp, thành phần dùng trong .NET và Visual Studio. Kẻ tấn công có thể gây từ chối dịch vụ qua mạng. Microsoft xếp lỗi ở mức Moderate. Lưu ý: SecurityOnline xếp lỗi này vào nhóm "đã bị khai thác", còn BleepingComputer và SecurityWeek chỉ ghi là "đã công bố trước". Nếu ứng dụng .NET của bạn dùng thư viện này để giải mã dữ liệu từ bên ngoài, hãy cập nhật gói NuGet.

Bảng bản vá chính

Sản phẩmBản cập nhật tháng 10/2026Ghi chú
Windows 11KB5127648, KB5126653Mỗi KB ứng với một nhánh Windows 11, tra Update Guide để chọn đúng
Windows 10 (ESU)KB5126657Chỉ dành cho máy đã đăng ký Extended Security Updates
Windows 11 24H2 Home/ProBản vá cuối cùngHết hỗ trợ sau tháng 10/2026
Windows 10 Enterprise LTSB 2016Bản vá cuối cùngHết hỗ trợ sau tháng 10/2026
Windows 11 23H2 Enterprise/EducationCòn nhận bản vá tháng 10Ngừng nhận bản vá từ tháng sau
Windows Server, Office, SharePoint, .NETBản tích lũy tháng 10 qua Windows Update/WSUSCó lỗi Critical trong AD DS (CVE-2026-70229) và AD FS

Số KB của Windows Server khác nhau theo từng phiên bản. Bạn hãy tra trong Microsoft Security Update Guide trước khi phê duyệt trên WSUS.

Kiểm tra bản vá trên máy Windows

Chạy PowerShell với quyền quản trị để xem các bản cập nhật đã cài gần đây:

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 10

# Kiểm tra một KB cụ thể
Get-HotFix -Id KB5127648 -ErrorAction SilentlyContinue

# Xem phiên bản và build của Windows
Get-ComputerInfo | Select-Object WindowsProductName, OsBuildNumber, WindowsVersion

Trên Windows Server Core hoặc khi không có giao diện, bạn có thể mở công cụ cấu hình rồi chọn mục cài cập nhật:

sconfig

Việc cần làm ngay

Với chủ VPS và máy chủ Windows

  1. Cài bản tích lũy tháng 10 cho mọi máy Windows Server, ưu tiên domain controller và máy chạy AD FS vì có lỗi Critical trong AD DS và AD FS.
  2. Ưu tiên máy có người đăng nhập RDP để duyệt web, đọc email hay mở tệp tải về, vì CVE-2026-96951 cần người dùng mở tệp.
  3. Không mở tệp đính kèm hay tệp nén lạ trên máy chủ. Máy chủ không phải máy làm việc cá nhân.
  4. Kiểm tra máy chủ cài .NET hoặc ứng dụng dùng MessagePack-CSharp, cập nhật gói thư viện lên bản mới nhất.
  5. Lên kế hoạch nâng cấp những máy Windows 11 24H2 Home/Pro hoặc Windows 10 LTSB 2016 sắp hết hỗ trợ.

Với khách hàng shared hosting và quản trị web

  • Shared hosting Windows (Plesk/IIS) do nhà cung cấp vá. Bạn nên hỏi họ đã cài bản vá tháng 10 chưa.
  • Máy tính bạn dùng để đăng nhập trang quản trị website hay panel hosting cũng phải được cập nhật. Zero-day vượt MotW thường được dùng để phát tán mã độc đánh cắp mật khẩu và cookie phiên.
  • Bật xác thực hai lớp cho cPanel, Plesk, WordPress và tài khoản nhà cung cấp tên miền.

Nguồn tham khảo