CISA xác nhận lỗ hổng zero-day CVE-2026-124194 trên Microsoft Outlook đang bị khai thác
CISA đã đưa lỗ hổng CVE-2026-124194 trên Microsoft Outlook vào danh mục KEV sau khi xác nhận các cuộc tấn công thực tế nhằm đánh cắp dữ liệu xác thực NTLMv2.

- Cảnh báo khẩn cấp: Lỗ hổng CVE-2026-124194 trên Microsoft Outlook đang bị khai thác tích cực trong thực tế.
- Cơ chế tấn công: Kẻ tấn công gửi tệp tin độc hại, ép buộc Outlook kết nối tới máy chủ từ xa mà không hiển thị cảnh báo bảo mật.
- Tác động: Rò rỉ NTLMv2 hash, cho phép kẻ tấn công thực hiện hành vi giả mạo người dùng (impersonation).
- Khắc phục: Quản trị viên cần triển khai bản vá ngay lập tức và kiểm tra phiên bản build của ứng dụng Office.
Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) vừa chính thức xác nhận việc khai thác tích cực lỗ hổng zero-day trên Microsoft Outlook, được định danh là CVE-2026-124194. Lỗ hổng này cho phép kẻ tấn công đánh cắp dữ liệu xác thực của người dùng thông qua việc thao túng các kết nối mạng không mong muốn.
Phân tích kỹ thuật lỗ hổng CVE-2026-124194
Theo các tài liệu tư vấn bảo mật từ Microsoft, lỗ hổng này phát sinh khi ứng dụng Outlook xử lý các tệp tin thông điệp (message file) được chế tạo đặc biệt. Khi nạn nhân mở các tệp tin này, Outlook có thể tự động thiết lập kết nối tới một địa chỉ mạng do kẻ tấn công kiểm soát mà không hiển thị bất kỳ cảnh báo nào về nội dung bên ngoài. Đây là một lỗi nghiêm trọng thuộc phân loại CWE-356, liên quan đến việc phần mềm không thực hiện kiểm tra phê duyệt của người dùng trước khi thực hiện các hành động tiềm ẩn rủi ro.
Mặc dù Microsoft phân loại vấn đề này là lỗi giả mạo (spoofing) thay vì thực thi mã từ xa (RCE), nhưng tác động đối với tính bảo mật (confidentiality) là rất cao. Kẻ tấn công có thể thu thập được NTLMv2 hash của nạn nhân, từ đó sử dụng để thực hiện các cuộc tấn công giả mạo danh tính trong môi trường mạng doanh nghiệp.
| Loại thực thể | Giá trị / Chỉ số | Mô tả tác động |
|---|---|---|
| Mã CVE | CVE-2026-124194 | Lỗ hổng zero-day trên Outlook |
| Mã CVE liên quan | CVE-2023-23397 | Lỗ hổng Outlook cũ (tham chiếu) |
| Phân loại CWE | CWE-356 | Thiếu kiểm tra phê duyệt người dùng |
| Điểm CVSS | 6.5 | Độ nghiêm trọng trung bình (đang bị khai thác) |
Phân biệt với các cuộc tấn công Outlook trước đây
Các nhà nghiên cứu bảo mật nhấn mạnh rằng đây không phải là một cuộc tấn công "zero-click". Để khai thác thành công CVE-2026-124194, nạn nhân bắt buộc phải thực hiện hành động mở tệp tin độc hại. Điều này khác biệt hoàn toàn với các lỗ hổng trước đây như CVE-2023-23397 hay lỗ hổng MonikerLink, nơi mà Outlook Preview Pane có thể trở thành vector tấn công mà không cần sự tương tác của người dùng.
Việc hiểu rõ cơ chế này giúp các đội ngũ phòng thủ (Blue Team) tránh nhầm lẫn trong quá trình điều tra sự cố. Các kỹ thuật tấn công cũ không nên được sử dụng làm bằng chứng để giải thích cho cách thức hoạt động của lỗ hổng mới này.
Hướng dẫn khắc phục và phòng thủ
Microsoft đã phát hành các bản cập nhật bảo mật cho các phiên bản 32-bit và 64-bit của Microsoft 365 Apps for Enterprise, Office LTSC 2021 và Office LTSC 2024. Quản trị viên hệ thống cần thực hiện các bước sau để đảm bảo an toàn:
- Xác định phiên bản: Kiểm tra các bản build đã được vá, ví dụ: 16.0.14334.21048 cho LTSC 2021 và 16.0.17932.21140 cho LTSC 2024.
- Triển khai bản vá: Sử dụng hướng dẫn phát hành bảo mật của Microsoft để xác định đúng gói cập nhật cho từng môi trường triển khai.
- Kiểm tra thực tế: Không chỉ dựa vào báo cáo triển khai cập nhật, quản trị viên cần xác minh trực tiếp số hiệu phiên bản (build number) trên các máy trạm.
⚠️ Cảnh báo quan trọng: CISA đã đưa lỗ hổng này vào danh mục Known Exploited Vulnerabilities (KEV) với thời hạn khắc phục là ngày 24 tháng 11 năm 2026. Các tổ chức cần ưu tiên đánh giá mức độ phơi nhiễm trên internet và cân nhắc ngừng sử dụng các sản phẩm bị ảnh hưởng nếu không thể áp dụng bản vá kịp thời.
Mặc dù Microsoft đã xác nhận lỗ hổng đang bị khai thác, nhưng hiện tại chưa có thông tin chi tiết về nhóm tấn công, quy mô chiến dịch hay các chỉ số IOCs (Indicators of Compromise) cụ thể. Do đó, các tổ chức cần duy trì sự cảnh giác cao độ, giám sát chặt chẽ các kết nối mạng bất thường từ ứng dụng Outlook và áp dụng các chính sách hạn chế kết nối SMB/HTTP ra bên ngoài để giảm thiểu rủi ro.
Mạng Lưới An Ninh Mạng & Cộng Đồng
Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.
Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.



