Microsoft vá lỗi Windows 'Wormable' và Zero-Day xóa tệp

Bản vá lỗi mới nhất của Microsoft vào Thứ Ba đi kèm với một cảnh báo nghiêm trọng cho người dùng Windows: hai lỗ hổng bảo mật zero-day đang bị khai thác tích cực đã được phát hiện và một trong số chúng có thể cho phép kẻ tấn công xóa các tệp quan trọng khỏi hệ thống mục tiêu.

Công ty đã phát hành các bản sửa lỗi bảo mật khẩn cấp cho ít nhất 55 lỗ hổng được ghi nhận trong Windows và các ứng dụng liên quan, bao gồm các lỗi nghiêm trọng trong Windows Storage, WinSock và Microsoft Excel. Trong số đó, một lỗi thực thi mã từ xa (RCE) trong Windows Lightweight Directory Access Protocol (LDAP) đang được gọi là "wormable", làm dấy lên mối lo ngại về việc khai thác rộng rãi.

Sau đây là những điều bạn cần biết về các mối đe dọa này và lý do tại sao việc vá lỗi ngay lập tức lại rất quan trọng.

Lỗ hổng xóa tệp Zero-Day (CVE-2025-21391)

Một trong những lỗ hổng đáng báo động nhất được giải quyết trong bản cập nhật này là CVE-2025-21391, một lỗ hổng nâng cao đặc quyền trong Windows Storage cho phép kẻ tấn công xóa các tệp trên hệ thống của nạn nhân. Điều này có thể dẫn đến gián đoạn lớn, mất ổn định hệ thống hoặc thậm chí là ngừng dịch vụ - một mối đe dọa nghiêm trọng đối với cả người dùng cá nhân và doanh nghiệp.

Vì lỗ hổng này đang bị khai thác, người dùng Windows nên áp dụng bản vá ngay lập tức để tránh các cuộc tấn công tiềm ẩn.

Lỗ hổng WinSock cấp quyền HỆ THỐNG (CVE-2025-21418)

Một zero-day quan trọng khác, CVE-2025-21418, ảnh hưởng đến Windows Ancillary Function Driver cho WinSock. Nếu khai thác thành công, nó sẽ cấp cho kẻ tấn công các đặc quyền cấp HỆ THỐNG, giúp chúng kiểm soát gần như hoàn toàn thiết bị bị ảnh hưởng.

Microsoft đã phân loại lỗ hổng này là mối đe dọa có mức độ ưu tiên cao, kêu gọi quản trị viên triển khai các bản vá ngay lập tức để giảm thiểu rủi ro bị xâm phạm.

Lỗi thực thi mã từ xa 'có thể bị nhiễm' (CVE-2025-21376)

Một trong những lỗ hổng đáng lo ngại nhất trong bản cập nhật này là CVE-2025-21376, một lỗ hổng thực thi mã từ xa (RCE) trong Giao thức truy cập thư mục nhẹ (LDAP) của Windows.

Lỗi này cho phép kẻ tấn công chưa xác thực gửi các yêu cầu được tạo đặc biệt đến máy chủ LDAP dễ bị tấn công, dẫn đến tràn bộ đệm có thể được sử dụng để thực thi mã từ xa. Các chuyên gia bảo mật cảnh báo rằng lỗ hổng này có thể bị khai thác, nghĩa là nó có thể được sử dụng để tự lan truyền qua các mạng mà không cần tương tác của người dùng.

Theo ZDI (Sáng kiến Ngày thứ 0), các tổ chức sử dụng máy chủ LDAP nên khẩn trương kiểm tra và triển khai bản vá để ngăn chặn các cuộc tấn công lan rộng tiềm ẩn.

Thực thi mã từ xa của Microsoft Excel (CVE-2025-21387)

Người dùng Microsoft Excel cũng có nguy cơ do CVE-2025-21387, một lỗ hổng thực thi mã từ xa có thể bị khai thác thông qua Preview Pane. Điều này có nghĩa là không cần tương tác của người dùng—chỉ cần mở một tệp độc hại trong Preview Pane cũng có thể kích hoạt một khai thác.

Để giảm thiểu hoàn toàn mối đe dọa này, Microsoft đã phát hành nhiều bản vá lỗi phải được cài đặt để đảm bảo bảo vệ toàn diện.

Các lỗ hổng đáng chú ý khác

Microsoft cũng giải quyết một số lỗi bảo mật quan trọng khác, bao gồm:

• CVE-2025-21194 – Lỗi bỏ qua tính năng ảnh hưởng đến Microsoft Surface.
• CVE-2025-21377 – Lỗ hổng giả mạo trong NTLM Hash, cho phép kẻ tấn công đánh cắp mã băm NTLMv2 của người dùng và xác thực là người dùng đó.

Việc Microsoft thiếu IOC khiến các nhà bảo vệ không biết gì

Mặc dù các lỗ hổng này rất nghiêm trọng, Microsoft đã không cung cấp Chỉ số xâm phạm (IOC) hoặc dữ liệu đo từ xa để giúp các nhóm bảo mật phát hiện khai thác đang hoạt động. Việc thiếu minh bạch này khiến những người bảo vệ khó xác định được liệu họ có bị xâm phạm hay không.

Bạn nên làm gì bây giờ

• Áp dụng ngay tất cả các bản vá có sẵn. Kẻ tấn công đã khai thác một số lỗ hổng này, khiến việc cập nhật nhanh chóng trở nên cần thiết.
• Giám sát hoạt động mạng để tìm lưu lượng LDAP đáng ngờ. Lỗ hổng LDAP có thể bị tấn công bằng sâu có thể được sử dụng cho các cuộc tấn công quy mô lớn.
• Tắt Preview Pane trong Microsoft Excel. Bước đơn giản này có thể giúp giảm thiểu nguy cơ bị tấn công bằng zero-click.
• Sử dụng các công cụ bảo vệ điểm cuối và giám sát bảo mật để phát hiện hành vi leo thang đặc quyền hoặc xóa tệp trái phép.

Với sự gia tăng tinh vi của các mối đe dọa mạng, việc cập nhật Patch Tuesday trở nên quan trọng hơn bao giờ hết. Việc trì hoãn các bản sửa lỗi này có thể khiến hệ thống của bạn dễ bị khai thác nguy hiểm, mất dữ liệu và các cuộc tấn công ransomware tiềm ẩn.

Người dùng Microsoft nên hành động ngay trước khi kẻ tấn công tấn công.