Hiện có hai lỗ hổng bảo mật của Windows, trong đó có một lỗ hổng chưa được vá (0-day), đang bị khai thác tích cực.

Tác giả dangkhoa 06/02/2026 11 phút đọc

Hiện có hai lỗ hổng bảo mật của Windows, trong đó có một lỗ hổng chưa được vá (0-day), đang bị khai thác tích cực.

Cả hai lỗ hổng này đều đang bị khai thác trong các hoạt động quy mô lớn.    

windows-malware-1024x648
 
Nguồn ảnh: Getty Images

Theo các nhà nghiên cứu, hai lỗ hổng bảo mật của Windows - một là lỗ hổng zero-day đã được tin tặc biết đến từ năm 2017 và một là lỗi nghiêm trọng mà Microsoft đã cố gắng vá nhưng không thành công gần đây - đang bị khai thác tích cực trong các cuộc tấn công diện rộng nhắm vào nhiều khu vực trên Internet.

Lỗ hổng bảo mật chưa được phát hiện này cho đến tháng 3 , khi công ty an ninh mạng Trend Micro cho biết nó đã bị khai thác tích cực từ năm 2017 bởi ít nhất 11 nhóm tấn công dai dẳng tiên tiến (APT) khác nhau. Các nhóm APT này, thường có liên hệ với các quốc gia, liên tục tấn công các cá nhân hoặc nhóm mục tiêu cụ thể. Trend Micro cho biết thêm rằng các nhóm này đang khai thác lỗ hổng, khi đó được theo dõi với mã số ZDI-CAN-25373, để cài đặt nhiều phần mềm độc hại sau khi khai thác (post-ploiting payloads) trên cơ sở hạ tầng đặt tại gần 60 quốc gia, trong đó Mỹ, Canada, Nga và Hàn Quốc là những quốc gia bị ảnh hưởng nhiều nhất.

Một chiến dịch phối hợp quy mô lớn

Bảy tháng sau, Microsoft vẫn chưa vá lỗ hổng này, xuất phát từ một lỗi trong định dạng nhị phân của Windows Shortcut . Thành phần Windows này giúp việc mở ứng dụng hoặc truy cập tệp dễ dàng và nhanh chóng hơn bằng cách cho phép một tệp nhị phân duy nhất gọi chúng mà không cần phải điều hướng đến vị trí của chúng. Trong những tháng gần đây, mã số theo dõi ZDI-CAN-25373 đã được thay đổi thành CVE-2025-9491.

Hôm thứ Năm, công ty an ninh mạng Arctic Wolf báo cáo rằng họ đã phát hiện một nhóm tội phạm mạng liên kết với Trung Quốc, được theo dõi với mã số UNC-6384, đang khai thác lỗ hổng CVE-2025-9491 trong các cuộc tấn công nhằm vào nhiều quốc gia châu Âu. Phần mềm độc hại cuối cùng được sử dụng là một loại Trojan truy cập từ xa phổ biến có tên PlugX. Để che giấu phần mềm độc hại tốt hơn, mã độc này giữ cho tệp nhị phân được mã hóa ở định dạng RC4 cho đến bước cuối cùng của cuộc tấn công.

Arctic Wolf cho biết: “Phạm vi nhắm mục tiêu rộng khắp nhiều quốc gia châu Âu trong một khoảng thời gian ngắn cho thấy đây có thể là một chiến dịch thu thập thông tin tình báo phối hợp quy mô lớn hoặc việc triển khai nhiều nhóm tác chiến song song với các công cụ dùng chung nhưng nhắm mục tiêu độc lập. Sự nhất quán trong kỹ thuật tác chiến đối với các mục tiêu khác nhau cho thấy việc phát triển công cụ tập trung và các tiêu chuẩn an ninh hoạt động được duy trì ngay cả khi việc thực hiện được phân bổ cho nhiều nhóm.”

Do chưa có bản vá lỗi nào, người dùng Windows chỉ còn một số ít lựa chọn để chống lại các cuộc tấn công. Biện pháp hiệu quả nhất là khóa chức năng của tệp .lnk bằng cách chặn hoặc hạn chế việc sử dụng các tệp .lnk từ các nguồn không đáng tin cậy. Điều này có thể được thực hiện bằng cách thiết lập Windows Explorer để vô hiệu hóa tính năng tự động phân giải các tệp đó. Mức độ nghiêm trọng của CVE-2025-9491 là 7 trên 10.

Lỗ hổng bảo mật Windows khác đã được vá vào tuần trước, khi Microsoft phát hành bản cập nhật ngoài kế hoạch. CVE-2025-59287 có mức độ nghiêm trọng là 9.8. Nó nằm trong Dịch vụ Cập nhật Windows Server, mà các quản trị viên sử dụng để cài đặt, vá lỗi hoặc xóa ứng dụng trên các hệ thống máy chủ lớn. Trước đó, Microsoft đã cố gắng vá lỗ hổng thực thi mã từ xa có khả năng lây lan như sâu máy tính, gây ra bởi lỗi tuần tự hóa, một tuần trước đó trong bản phát hành Patch Tuesday tháng 10. Mã chứng minh khái niệm được công bố công khai nhanh chóng chứng minh rằng bản vá lỗi được thử nghiệm là chưa hoàn chỉnh.

Cùng thời điểm Microsoft phát hành bản vá lỗi thứ hai, công ty bảo mật Huntress cho biết họ đã phát hiện lỗ hổng WSUS bị khai thác bắt đầu từ ngày 23 tháng 10. Công ty bảo mật Eye cũng báo cáo phát hiện tương tự ngay sau đó.

Hãng bảo mật Sophos hôm thứ Tư cho biết họ cũng đã phát hiện lỗ hổng CVE-2025-59287 bị khai thác “trong nhiều môi trường khách hàng” kể từ ngày 24 tháng 10.

“Làn sóng hoạt động kéo dài vài giờ và nhắm vào các máy chủ WSUS kết nối internet, đã ảnh hưởng đến khách hàng trong nhiều ngành nghề khác nhau và dường như không phải là các cuộc tấn công có chủ đích,” Sophos cho biết. “Hiện chưa rõ liệu các tác nhân đe dọa đứng sau hoạt động này đã tận dụng bằng chứng về khả năng khai thác lỗ hổng (PoC) công khai hay tự phát triển công cụ khai thác riêng của họ.”

Các quản trị viên nên điều tra ngay lập tức xem thiết bị của họ có dễ bị tổn thương trước một trong hai cuộc tấn công đang diễn ra hay không. Hiện chưa có thông tin nào cho biết khi nào Microsoft sẽ phát hành bản vá cho CVE-2025-9491.

Tác giả dangkhoa Admin
Bài viết trước Các nhà nghiên cứu đặt câu hỏi về tuyên bố của Anthropic rằng cuộc tấn công được hỗ trợ bởi AI có tính tự chủ 90%

Các nhà nghiên cứu đặt câu hỏi về tuyên bố của Anthropic rằng cuộc tấn công được hỗ trợ bởi AI có tính tự chủ 90%

Bài viết tiếp theo

Vấn đề Matter của Ikea phơi bày “cơn đau đầu” lớn nhất với nhà thông minh

Vấn đề Matter của Ikea phơi bày “cơn đau đầu” lớn nhất với nhà thông minh
Viết bình luận
Thêm bình luận

Bài viết liên quan

Thông báo

0917111899