Phân tích lỗ hổng CVE-2026-70111: Tấn công từ chối dịch vụ trên Windows Server

• Lỗ hổng định danh: CVE-2026-70111 ảnh hưởng đến các phiên bản Windows Server 2019, 2022 và 2025.
• Cơ chế tấn công: Kẻ tấn công có thể gây ra tình trạng từ chối dịch vụ (DoS) thông qua các phản hồi DFS referral được chế tạo đặc biệt.
• Tác động kỹ thuật: Lỗi thiếu kiểm tra độ dài trong driver mup.sys dẫn đến tham chiếu bộ nhớ không hợp lệ, gây ra màn hình xanh (BSOD) và khởi động lại đột ngột.
• Khuyến nghị: Cần áp dụng ngay bản vá bảo mật tháng 10/2026 và tăng cường giám sát lưu lượng SMB nội bộ.

Tổng quan về lỗ hổng CVE-2026-70111

Microsoft vừa phát hành bản vá cho một lỗ hổng bảo mật nghiêm trọng trong Windows Server, được định danh là CVE-2026-70111. Lỗ hổng này cho phép một kẻ tấn công có quyền truy cập mạng (network-adjacent) có thể làm treo máy chủ mục tiêu chỉ bằng một gói tin phản hồi Distributed File System (DFS) được chế tạo đặc biệt. Các phiên bản hệ điều hành bị ảnh hưởng bao gồm Windows Server 2019, 2022 và 2025.

Lỗ hổng này được phát hiện bởi các nhà nghiên cứu từ Corelight trong quá trình kiểm thử các giao diện Microsoft Remote Procedure Call (MS-RPC) và DFS. Tại thời điểm công bố vào ngày 13 tháng 10 năm 2026, chưa có bằng chứng nào cho thấy lỗ hổng này đang bị khai thác tích cực trong thực tế. Tuy nhiên, nguy cơ từ chối dịch vụ (DoS) là rất rõ ràng đối với các hạ tầng máy chủ quan trọng.

Phân tích kỹ thuật và cơ chế khai thác

Về mặt kỹ thuật, Windows sử dụng DFS để điều hướng người dùng và hệ thống đến các tệp tin được lưu trữ trên mạng. Khi một máy chủ Windows phân giải đường dẫn DFS, một thành phần hệ thống có tên là mup.sys sẽ thực hiện yêu cầu thông tin tham chiếu (referral information) thông qua giao thức SMB. Các nhà nghiên cứu phát hiện ra rằng một phản hồi được chế tạo đặc biệt có thể đi vào một đường dẫn mã nguồn dễ bị tổn thương trong khi driver đang xử lý DFS referral.

Nguyên nhân gốc rễ (Root Cause) được xác định là do thiếu kiểm tra độ dài (missing length check). Cụ thể, trong một phản hồi NameList referral, một offset có thể trỏ đến một chuỗi rỗng. Mã nguồn của máy chủ không thực hiện kiểm tra tính hợp lệ của giá trị này trước khi xử lý, dẫn đến việc kernel truy cập vào một tham chiếu bộ nhớ không hợp lệ. Kết quả là hệ thống gặp lỗi màn hình xanh (BSOD) và buộc phải khởi động lại ngoài ý muốn.

Đánh giá rủi ro và dấu hiệu nhận biết

Mặc dù lỗ hổng này không cho phép kẻ tấn công chiếm quyền điều khiển máy chủ (server takeover), nhưng khả năng gây gián đoạn dịch vụ là rất cao. Nếu kẻ tấn công có thể kích hoạt lỗ hổng này nhiều lần, chúng có thể duy trì trạng thái ngoại tuyến (offline) của hệ thống trong thời gian dài. Tác động thực tế phụ thuộc vào tầm quan trọng của máy chủ bị nhắm mục tiêu, ví dụ như các Domain Controller.

⚠️ Cảnh báo quan trọng: Việc khởi động lại tự động sau lỗi kernel có thể che giấu dấu vết tấn công. Các quản trị viên cần kiểm tra kỹ Windows System log với Event ID 41 và 6008 để phát hiện các lần tắt máy bất thường không rõ nguyên nhân.

Để phát hiện các hoạt động khai thác, các chuyên gia khuyến nghị giám sát lưu lượng SMB nội bộ (east-west traffic) giữa các máy chủ và Domain Controller. Sử dụng các công cụ như Zeek, quản trị viên có thể tìm kiếm các dấu hiệu bất thường trong kết nối:

• Trạng thái kết nối: Sự xuất hiện đột ngột của các trạng thái kết nối như S1, RSTR, hoặc RSTRH liên quan đến cùng một máy chủ.
• Gián đoạn phiên: Các phiên kết nối bị ngắt đột ngột trong quá trình xảy ra sự cố và hoạt động reset sau khi máy chủ khởi động lại.

Khuyến nghị phòng thủ và khắc phục

Giải pháp triệt để nhất là áp dụng bản cập nhật bảo mật tháng 10/2026 của Microsoft cho các hệ thống Windows Server 2019, 2022 và 2025. Các tổ chức cần ưu tiên vá lỗi cho các máy chủ đang sử dụng dịch vụ DFS. Ngoài ra, việc thiết lập các chính sách giám sát mạng chặt chẽ là bước đi cần thiết để phát hiện sớm các hành vi bất thường trong môi trường nội bộ. Để biết thêm thông tin chi tiết về các lỗ hổng bảo mật, bạn có thể tham khảo tài liệu từ National Vulnerability Database (NVD).