Patch Tuesday tháng 11 của Microsoft (10/11) vá hơn 1.000 lỗi — trong đó có 63 lỗi Critical. Nhưng lỗi duy nhất đang bị khai thác thật lại là một lỗi chỉ chấm 6.5, mức Moderate: CVE-2026-124194 trong Outlook. Điểm số thấp không có nghĩa là không nguy hiểm.

Lỗi hoạt động thế nào

CVE-2026-124194 là lỗi spoofing (CWE-356 — giao diện không cảnh báo trước một hành động không an toàn):

  1. Kẻ tấn công gửi hoặc đặt sẵn một file message (.msg) được chế tạo đặc biệt.
  2. Nạn nhân mở file đó trong Outlook.
  3. Outlook kết nối tới một vị trí mạng do kẻ tấn công kiểm soát mà không hiện cảnh báo nội dung ngoài như bình thường.
  4. Windows tự động xác thực với server đó, gửi đi NTLMv2 hash của người dùng — kẻ tấn công có thể crack offline hoặc relay hash để giả danh người dùng trên dịch vụ khác.

Hai điểm phải nói rõ:

  • Preview Pane KHÔNG phải đường tấn công. Chỉ xem mail trong khung xem trước không kích hoạt lỗi — phải mở file message thì mới dính. Microsoft nói rõ điều này trong FAQ.
  • Cập nhật Windows không vá được lỗi này. Bản vá nằm trong bản cập nhật Office / Click-to-Run, không phải Windows Update. Chỉ cài KB5132061 thôi thì vẫn còn lộ.

Ai bị ảnh hưởng

  • Microsoft 365 Apps for Enterprise, Office LTSC 2021 (bản vá 16.0.14334.21048) và Office LTSC 2024 (bản vá 16.0.17932.21140), cả 32-bit và 64-bit.
  • CISA đưa vào KEV ngày 10/11, hạn liên bang 24/11/2026.
  • Microsoft chưa nói ai đang khai thác, nhắm vào ai, hay khai thác bắt đầu từ khi nào — nên khi rà soát log, hãy nhìn lại ít nhất từ giữa tháng 10.
  • Lỗi do nhà nghiên cứu "nono" và Benoît Sevens báo cáo; chưa từng được công bố trước khi vá.

Cần làm gì

  • Cập nhật Office ngay: trong Outlook vào File > Office Account > Update Options > Update Now, hoặc đảm bảo kênh cập nhật Office của tổ chức đã nhận bản tháng 11.
  • Trong lúc chờ cập nhật: cảnh báo nhân viên đừng mở file .msg/.eml lạ từ email hoặc download — đặc biệt là file được gửi kèm với lý do "mở ra xem giúp".

Nguồn: