Chuyện gì đã xảy ra
Trong Patch Tuesday ngày 8/9/2026, Microsoft vá 964 CVE, đợt lớn nhất từ trước tới nay, vượt tháng 7, theo Tenable. Có 104 lỗi nghiêm trọng và 860 lỗi quan trọng. Leo thang đặc quyền chiếm 44,7%, thực thi mã từ xa 26,8%.
Hai zero-day
- CVE-2026-81963 (Windows Update Stack): lỗi theo liên kết cho phép leo lên SYSTEM. CVSS 7,8. Là lỗi EoP Update Stack đầu tiên bị khai thác dạng zero-day kể từ 2022.
- CVE-2026-85880 (Windows ALPC): leo lên SYSTEM, CVSS 7,8. Zero-day ALPC thứ hai kể từ CVE-2023-21674.
Cả hai cần truy cập cục bộ, nhưng đây chính là loại lỗi kẻ tấn công xâu chuỗi sau khi lừa đảo thành công.
Các lỗi khác cần ưu tiên
- CVE-2026-69730 (Windows DNS Server): RCE không cần xác thực, CVSS 9,8.
- CVE-2026-69525 (Remote Desktop Services): RCE use-after-free, CVSS 9,8.
- CVE-2026-69676 (Kerberos): RCE, CVSS 8,8.
- CVE-2026-69380 (Exchange Server): người dùng đã xác thực có thể truy cập hộp thư khác; CVSS 8,1.
Nên làm gì
- Cài bản cập nhật tích lũy tháng 9, bắt đầu từ máy người dùng có truy cập internet.
- Ưu tiên máy chủ DNS, RDS và domain controller.
- Tự động hóa vá lỗi và dùng danh mục KEV của CISA để xếp thứ tự.