Tóm lại:
- PCWorld đưa tin Microsoft đã phát hành các bản cập nhật bảo mật quan trọng để khắc phục 15 lỗ hổng trong Office, bao gồm 14 lỗ hổng thực thi mã từ xa ảnh hưởng đến Excel, Word, Outlook và Access.
- Một lỗ hổng bảo mật chưa được vá (CVE-2025-62221) đang bị khai thác rộng rãi trên thực tế, trong khi hai lỗ hổng nghiêm trọng khác có thể bị kích hoạt chỉ bằng cách xem trước các tập tin độc hại.
- Người dùng cần cập nhật ngay lập tức vì những lỗ hổng này tiềm ẩn rủi ro bảo mật nghiêm trọng, với các cuộc tấn công có thể xảy ra thông qua các thao tác tệp cơ bản trong các ứng dụng Office.
Hôm qua là ngày "Patch Tuesday" lớn của Microsoft, tung ra nhiều bản cập nhật bảo mật để khắc phục 56 lỗ hổng mới. Như vậy, tổng số lỗ hổng được vá trong năm 2025 lên đến con số khổng lồ 1.139. Ngoài Windows và Office, các bản vá này cũng ảnh hưởng đến Azure, Copilot, Defender, Exchange và PowerShell.
Bản cập nhật lớn tiếp theo dự kiến vào ngày 13 tháng 1 năm 2026. Dưới đây là cái nhìn chi tiết hơn về tất cả các bản vá lỗi bảo mật trên các sản phẩm và dịch vụ của Microsoft.
Các lỗ hổng bảo mật của Microsoft Windows
Phần lớn các lỗ hổng bảo mật—lần này là 38 lỗ hổng—phân bố rải rác trên nhiều phiên bản Windows khác nhau (Windows 10, Windows 11 và Windows Server) mà Microsoft vẫn cung cấp các bản cập nhật bảo mật.
Windows 10 vẫn tiếp tục được liệt kê là hệ thống bị ảnh hưởng, mặc dù việc hỗ trợ chính thức đã kết thúc vào tháng 10. Điều này không xảy ra với Windows 7, bất chấp chương trình ESU (Extended Security Updates).
CVE-2025-62221 là một lỗ hổng bảo mật có rủi ro cao về leo thang đặc quyền (EoP) trong trình điều khiển bộ lọc nhỏ tập tin đám mây, hiện đang bị khai thác cho các cuộc tấn công trong thực tế. Kẻ tấn công thành công thậm chí có thể thực thi mã của chúng với quyền cấp hệ thống bằng cách kết hợp lỗ hổng sử dụng sau khi giải phóng (UAF) này với lỗ hổng thực thi mã từ xa (RCE), mà hiện có rất nhiều. Tất cả các phiên bản Windows được hỗ trợ đều dễ bị ảnh hưởng.
Với CVE-2025-62454 và CVE-2025-62457 , Microsoft đã vá thêm hai lỗ hổng cùng loại, nhưng chúng hiện không bị khai thác tích cực.
Mặc dù không có lỗ hổng bảo mật Windows nào được xếp loại nghiêm trọng trong tháng này, Microsoft đã khắc phục một số lỗ hổng tiềm ẩn nguy hiểm. Ví dụ, có một lỗ hổng EoP và hai lỗ hổng từ chối dịch vụ (DoS) trong nhân đồ họa DirectX. Với CVE-2025-54100 , Microsoft đã loại bỏ một lỗi thực thi mã từ xa (RCE) gây rắc rối trong PowerShell vốn đã được công khai trước đó. Dịch vụ Định tuyến và Truy cập Từ xa (RRAS) cũng một lần nữa được đề cập với ba lỗ hổng bảo mật, bao gồm CVE-2025-62549 (một lỗ hổng RCE).
Các lỗ hổng bảo mật của Microsoft Office
Microsoft phân loại hai trong số các lỗ hổng bảo mật của Office là nghiêm trọng. Theo Microsoft, một trong số đó đã bị khai thác trong các cuộc tấn công thực tế. Chúng ta chỉ có rất ít thông tin chi tiết về các lỗ hổng còn lại, vốn không thực sự dễ tìm kiếm trong Hướng dẫn Cập nhật Bảo mật .
Microsoft đã khắc phục 15 lỗ hổng trong bộ sản phẩm Office của mình, bao gồm 14 lỗ hổng thực thi mã từ xa (RCE). Microsoft phân loại hai trong số các lỗ hổng RCE này ( CVE-2025-62554 và CVE-2025-62557 ) là nghiêm trọng, trong đó cửa sổ xem trước là một vectơ tấn công. Điều này có nghĩa là một cuộc tấn công thành công có thể xảy ra chỉ bằng cách nhấp vào một tệp được hiển thị trong cửa sổ xem trước, ngay cả khi người dùng không thực sự mở tệp đó.
Microsoft phân loại các lỗ hổng bảo mật khác trong Office là có rủi ro cao. Trong trường hợp này, người dùng phải thực sự mở một tập tin đã được chuẩn bị sẵn thì mã khai thác mới có hiệu lực (“mở để sở hữu”). Sáu trong số các lỗ hổng này ảnh hưởng đến Excel, ba lỗ hổng trong Word, và mỗi lỗ hổng trong Outlook và Access.
Các lỗ hổng bảo mật của Microsoft Exchange
Microsoft đã khắc phục hai lỗ hổng trong Exchange Server. CVE-2025-64666 là lỗ hổng EoP (Ecopy-of-Proof) được NSA báo cáo cho Microsoft. Lỗ hổng thứ hai, CVE-2025-64667 , là lỗ hổng giả mạo.
Bất kỳ ai vẫn đang sử dụng Exchange Server 2016 hoặc 2019 có thể vẫn không được bảo vệ bất chấp các bản cập nhật này, vì cả hai đều đã nhận được bản cập nhật cuối cùng vào tháng 10. May mắn thay, có một chương trình ESU kéo dài sáu tháng dành cho Exchange, chạy cho đến Patch Tuesday vào tháng 4 năm 2026.
Các lỗ hổng bảo mật của Microsoft Edge
Bản cập nhật bảo mật mới nhất cho Edge 143.0.3650.66 đã được phát hành vào ngày 4 tháng 12 và dựa trên Chromium 143.0.7499.41. Bản cập nhật này khắc phục một số lỗ hổng bảo mật của Chromium. Microsoft cũng đã sửa một lỗ hổng bảo mật dành riêng cho Edge ( CVE-2025-62223 ).
