Vào ngày 12 tháng 11, Microsoft tuyên bố đã vá lỗi CVE-2025-60718 , một lỗ hổng bảo mật trong Windows 11 được bộ phận bảo mật Project Zero của Google báo cáo.

Tuy nhiên, hiện tại, Project Zero tuyên bố rằng Microsoft đã không giải quyết triệt để lỗ hổng này. Trên thực tế, Project Zero ngay sau đó đã đưa ra một phản hồi chi tiết giải thích lý do tại sao "bản vá" lại có vấn đề và các yếu tố liên quan một cách sâu sắc hơn.

Tóm lại, lỗ hổng bảo mật được đề cập là một lỗi trong tính năng Bảo vệ quản trị viên, cho phép tin tặc chạy mã độc nếu chúng có thể truy cập vật lý vào máy tính:

Tồn tại một lỗ hổng trong tính năng Bảo vệ Quản trị viên Windows cho phép một tiến trình có quyền hạn thấp có được quyền truy cập đầy đủ vào một tiến trình Truy cập Giao diện Người dùng, điều này có thể bị lợi dụng để truy cập vào một tiến trình quản trị viên ngầm, dẫn đến việc leo thang đặc quyền.

Phần tiếp theo giải thích vấn đề với giải pháp được cho là đã khắc phục:

Tôi đã xem qua bản sửa lỗi và tôi tin rằng có một vấn đề với nó. […] Cách khắc phục là chỉ giải quyết [đường dẫn đến tệp thực thi] một lần và sử dụng đường dẫn đó cho các bước tiếp theo trong phần còn lại của hàm.

Hơn nữa:

Để giảm nhẹ vấn đề, mặc dù nó chưa được khắc phục hoàn toàn, nhưng đây chỉ là lỗi leo thang đặc quyền cục bộ và yêu cầu chạy mã tùy ý trên máy. Chế độ Bảo vệ Quản trị viên là một tính năng tùy chọn chỉ có trên Windows 11 25H2 và bản vá lỗi sẽ không hoạt động nếu không bật tính năng này. Điều này có nghĩa là ngay cả khi không có bản vá lỗi chưa hoàn chỉnh này, vấn đề vẫn là một cách vượt qua UAC, nhưng UAC không phải là một rào cản bảo mật.

Ngoài ra, có vẻ như tính năng Bảo vệ quản trị viên hiện đang bị vô hiệu hóa thông qua một cờ tính năng trên tất cả các máy Windows 11 mà tôi đã thử nghiệm, vì vậy bạn không thể bật tính năng này ngay cả khi bạn muốn.

Điều đáng kinh ngạc là Microsoft tuyên bố đã khắc phục sự cố vào ngày 12 tháng 11, sau đó Google đã đưa ra thông báo chi tiết này một tuần sau đó, vào ngày 19 tháng 11, và một thông báo nữa vào ngày hôm sau, 20 tháng 11 — thế nhưng Microsoft lại hoàn toàn phớt lờ, không có bất kỳ phản hồi nào, thậm chí không thừa nhận bản vá chưa hoàn chỉnh.

Mặc dù nguy cơ thiệt hại được coi là nhỏ, chúng tôi hy vọng Microsoft sẽ xem xét kỹ hơn bài viết chi tiết của Google và thực hiện các bản sửa lỗi cần thiết để giải quyết triệt để vấn đề mà họ tuyên bố đã khắc phục.