Phân tích lỗ hổng CVE-2026-85851: Leo thang đặc quyền trong Windows SmartScreen

• Lỗ hổng trọng yếu: CVE-2026-85851 là lỗi Use-After-Free trong Windows SmartScreen với điểm CVSS 7.8.
• Cơ chế tấn công: Cho phép kẻ tấn công leo thang từ mức độ toàn vẹn thấp (low integrity) lên mức trung bình (medium integrity).
• Yêu cầu hệ thống: Ảnh hưởng đến Windows 11 và Windows Server 2025, yêu cầu quyền truy cập cục bộ nhưng không cần tương tác người dùng.
• Khuyến nghị: Quản trị viên cần triển khai ngay các bản cập nhật KB tương ứng cho từng phiên bản hệ điều hành.

Microsoft vừa chính thức công bố các bản vá bảo mật quan trọng nhằm khắc phục lỗ hổng leo thang đặc quyền cục bộ (LPE) tồn tại trong thành phần Windows SmartScreen. Được định danh là CVE-2026-85851, lỗ hổng này được đánh giá ở mức độ Important với điểm số CVSS 7.8. Đây là một cảnh báo nghiêm trọng đối với các hệ thống doanh nghiệp và người dùng cá nhân đang vận hành các phiên bản Windows hiện đại.

Phân tích kỹ thuật lỗ hổng CVE-2026-85851

Lỗ hổng này xuất phát từ lỗi CWE-416, hay còn gọi là Use-After-Free (UAF). Trong cơ chế này, phần mềm tiếp tục truy cập vào một vùng nhớ sau khi vùng nhớ đó đã được giải phóng. Khi một tiến trình khác tái sử dụng vùng nhớ này, mã nguồn ban đầu có thể vô tình thao tác trên dữ liệu không còn thuộc quyền sở hữu của nó, dẫn đến tình trạng hỏng bộ nhớ (memory corruption) hoặc các vấn đề bảo mật nghiêm trọng khác.

Theo các nhà nghiên cứu, kẻ tấn công cần phải có quyền truy cập cục bộ (local access) trên thiết bị mục tiêu. Mặc dù lỗ hổng không trực tiếp dẫn đến quyền quản trị cao nhất (SYSTEM), nó cho phép kẻ tấn công leo thang từ mức độ toàn vẹn thấp (low integrity) lên mức trung bình (medium integrity). Điểm đáng chú ý là cuộc tấn công không yêu cầu bất kỳ sự tương tác nào từ phía người dùng, làm tăng đáng kể rủi ro trong các kịch bản tấn công chuỗi.

Bảng tổng hợp các lỗ hổng liên quan

So sánh với các mối đe dọa SmartScreen trước đây

Cần phân biệt rõ CVE-2026-85851 với các kỹ thuật tấn công SmartScreen trước đây. Các chiến dịch như Water Hydra từng khai thác SmartScreen để bỏ qua cảnh báo bảo mật và phát tán mã độc thông qua CVE-2024-21412. Trong khi đó, lỗ hổng mới này tập trung vào việc leo thang đặc quyền cục bộ thay vì vượt qua các cơ chế kiểm soát tệp tin tải xuống.

Bên cạnh đó, Microsoft cũng đã công bố CVE-2026-83504, một lỗ hổng tiết lộ thông tin thông qua điều kiện đua (race condition) kiểu Time-of-Check-to-Time-of-Use (TOCTOU). Mặc dù cả hai đều yêu cầu quyền truy cập cục bộ, hiện tại chưa có bằng chứng về việc kết hợp hai lỗ hổng này thành một chuỗi tấn công (exploit chain).

Hướng dẫn khắc phục và cập nhật hệ thống

Để bảo vệ hệ thống, quản trị viên cần xác định chính xác phiên bản Windows đang sử dụng và áp dụng bản vá tương ứng. Dưới đây là danh sách các bản cập nhật (KB) cần thiết:

• Windows 11 23H2: Cập nhật KB5126653.
• Windows 11 24H2, 25H2, 26H2: Cập nhật KB5127648.
• Windows 11 26H1: Cập nhật KB5127646.
• Windows Server 2025: Cập nhật KB5126646.

⚠️ Cảnh báo quan trọng: Quản trị viên hệ thống nên kiểm tra kỹ kiến trúc hệ thống (x64 hoặc ARM64) trước khi triển khai. Việc không cập nhật kịp thời có thể tạo điều kiện cho các tác nhân đe dọa tận dụng lỗ hổng này để củng cố vị thế sau khi đã xâm nhập thành công vào mạng lưới thông qua các phương thức khác.

Để biết thêm chi tiết về các bản vá, người dùng có thể tham khảo tài liệu chính thức từ Microsoft Security Response Center. Việc duy trì quy trình quản lý bản vá (patch management) nghiêm ngặt là yếu tố then chốt để giảm thiểu rủi ro từ các lỗ hổng leo thang đặc quyền.