Phân tích lỗ hổng Zero-day CVE-2026-96951 trong Windows Shell

• Lỗ hổng nghiêm trọng: CVE-2026-96951 là lỗ hổng zero-day trong Windows Shell, đã bị khai thác trong thực tế.
• Cơ chế tấn công: Kẻ tấn công lợi dụng lỗi command injection để vượt qua các rào cản bảo mật Mark of the Web (MotW).
• Điểm số CVSS: 8.8 (Important), yêu cầu người dùng cần ưu tiên cập nhật bản vá từ Microsoft ngay lập tức.
• Khuyến nghị: Cần thận trọng với các tệp tin đính kèm không rõ nguồn gốc trong email hoặc tin nhắn tức thời.

Trong đợt cập nhật Patch Tuesday tháng 10 năm 2026, Microsoft đã chính thức phát hành bản vá cho một lỗ hổng bảo mật zero-day nghiêm trọng trong Windows Shell, được định danh là CVE-2026-96951. Lỗ hổng này cho phép kẻ tấn công vượt qua các cơ chế bảo mật Mark of the Web (MotW), một thành phần quan trọng giúp Windows cảnh báo người dùng về các tệp tin tiềm ẩn nguy hiểm có nguồn gốc từ internet.

Phân tích kỹ thuật lỗ hổng CVE-2026-96951

Lỗ hổng này được phân loại là một lỗi command injection, xảy ra khi Windows Shell không xử lý đúng cách các phần tử đặc biệt trong một lệnh. Theo các nhà nghiên cứu bảo mật, kẻ tấn công có thể lợi dụng sơ hở này để thực hiện hành vi vượt qua tính năng bảo mật (security feature bypass) thông qua mạng.

Mặc dù không phải là lỗ hổng thực thi mã từ xa (RCE) độc lập, việc vượt qua MotW đóng vai trò như một bước đệm nguy hiểm. Khi MotW bị vô hiệu hóa, các tệp tin độc hại tải về từ internet sẽ không còn hiển thị cảnh báo bảo mật của hệ điều hành, khiến người dùng dễ dàng bị lừa mở các tệp tin chứa mã độc.

Cơ chế khai thác và chuỗi tấn công

Kẻ tấn công thường phân phối các tệp tin được chế tạo đặc biệt thông qua email hoặc các nền tảng nhắn tin tức thời. Việc khai thác yêu cầu sự tương tác từ người dùng (user interaction), do đó đây không phải là một cuộc tấn công zero-click. Tuy nhiên, với các kỹ thuật kỹ thuật xã hội (social engineering) tinh vi, kẻ tấn công có thể dễ dàng thuyết phục nạn nhân mở tệp tin độc hại.

⚠️ Cảnh báo quan trọng: Microsoft đã xác nhận lỗ hổng này đã bị khai thác trong thực tế (Exploitation Detected). Các tổ chức cần ưu tiên triển khai bản vá cho tất cả các hệ thống bị ảnh hưởng ngay lập tức để ngăn chặn các cuộc tấn công tiếp theo.

Các chuyên gia an ninh mạng lưu ý rằng, mặc dù trước đây đã có các báo cáo về việc vượt qua MotW thông qua Windows LNK Stomping hoặc các lỗ hổng trong phần mềm giải nén như WinZip, nhưng CVE-2026-96951 là một thực thể riêng biệt với cơ chế khai thác khác biệt. Các nhà nghiên cứu bao gồm Riku Bamba, Yuya Chudo, Benoit Sevens và yhw đã được ghi nhận trong việc phát hiện và báo cáo lỗ hổng này tới Microsoft.

Khuyến nghị phòng thủ và săn tìm mối đe dọa

Để bảo vệ hệ thống trước các cuộc tấn công lợi dụng lỗ hổng này, các đội ngũ vận hành an ninh (SOC) và quản trị viên hệ thống cần thực hiện các bước sau:

• Cập nhật bản vá: Kiểm tra và áp dụng các bản cập nhật bảo mật mới nhất từ Microsoft Security Update Guide.
• Giám sát EDR: Theo dõi các cảnh báo từ hệ thống EDR liên quan đến việc thực thi các tệp tin có nguồn gốc từ internet mà không có cảnh báo MotW.
• Đào tạo nhận thức: Nâng cao cảnh giác cho người dùng cuối về việc mở các tệp tin đính kèm không rõ nguồn gốc, ngay cả khi hệ thống không hiển thị cảnh báo bảo mật.

Việc tái dựng lại dòng thời gian tấn công (attack timeline) là vô cùng quan trọng khi phát hiện các dấu hiệu xâm nhập. Các chuyên gia khuyến cáo sử dụng các công cụ phân tích log và EDR để truy vết nguồn gốc của tệp tin độc hại và các tiến trình con được khởi tạo sau khi tệp tin được mở.