Ngày Cập nhật Bảo mật Thứ Ba tháng 11 năm 2026 của Microsoft: Một lỗ hổng trong số 1.095 lỗ hổng được chấm 6,5 điểm và hiện đang bị tấn công

Lỗ hổng bảo mật duy nhất của Microsoft bị khai thác trong tháng này được đánh giá ở mức “Trung bình” – và có mức độ chín muồi khai thác cao nhất mà Microsoft từng công bố. Lỗ hổng này được một nhà nghiên cứu phát hiện thông qua trí tuệ nhân tạo (AI) và đã được khai thác rộng rãi trên thực tế. Trong khi đó, lỗ hổng thực sự khiến các tường lửa bị xâm nhập trong tháng này lại hoàn toàn không thuộc về Microsoft.

Tổng quan

Số lượng tiêu đề là số CVE mà Microsoft đã phân loại kèm theo mức độ tác động, không bao gồm 267 CVE của bên thứ ba được đăng lại (các gói Azure Linux / Mariner, các CVE Chromium do Google chỉ định). Nếu tính cả những CVE này, tài liệu có tổng cộng 1.362 dòng. Tenable và Krebs báo cáo con số 1.093, ZDI khoảng 1.090, còn BleepingComputer là 1.235 dựa trên cơ sở tính toán khác. Số liệu của chúng tôi dựa trên bản cập nhật ngày 11 tháng 11. Con số tháng 11 giảm 23% so với 1.418 của tháng 10 — đây là tháng thứ hai có số lượng lỗ hổng lên đến bốn chữ số, nhưng không phải là kỷ lục mới.

Danh sách phát hành, theo loại tác động

1.095 lỗ hổng bảo mật (CVE) do Microsoft công bố.

Việc nâng cao đặc quyền chiếm 49% các lỗ hổng đã được công bố và cần phải có điểm bám trước tiên. Thực thi mã từ xa là loại lỗ hổng có thể khai thác mà không cần điểm bám. Tenable thống kê có 287 sản phẩm bị ảnh hưởng; trong đó, các sản phẩm bị ảnh hưởng nặng nề nhất là Office Word (65), Office Excel (64) và SQL Server (53).

Điều thực sự quan trọng trong tháng này là gì

Năm điều, theo thứ tự ưu tiên.

1. Lỗ hổng duy nhất của Microsoft bị khai thác đạt điểm 6,5 — và Microsoft đánh giá mức độ chín muồi của phương thức khai thác này là “Cao”

Đó là mức cao nhất trên thang điểm: mã khai thác đáng tin cậy và được phổ biến rộng rãi. CVE-2026-124194 là một lỗ hổng trong Outlook dẫn đến rò rỉ các giá trị băm NTLM, và điểm CVSS đánh giá thấp mức độ nghiêm trọng của nó vì tác động chỉ liên quan đến tính bảo mật và yêu cầu sự tương tác của người dùng. Trong số 1.095 CVE, có 1.084 CVE được xếp hạng Chưa được chứng minh và một trường hợp khác được xếp ở mức Chứng minh khái niệm. CVSS đánh giá mức độ nguy hiểm là “Trung bình”. Mức độ hoàn thiện của mã khai thác cho thấy có thể thực hiện ngay.

2. Bản vá này không có trong bản cập nhật tích lũy của Windows

Bản vá sẽ được phát hành trong các bản cập nhật bảo mật các bản cập nhật bảo mật — Microsoft 365 Apps for Enterprise và Office LTSC 2021/2024 — chứ không phải KB5132061. Một hệ thống triển khai bản cập nhật tổng hợp hàng tháng của Windows và coi như đã hoàn tất vẫn sẽ gặp rủi ro. Hạn chót của CISA là ngày 24 tháng 11.

3. AI xuất hiện ở cả hai phía trong cùng một tháng

Microsoft ghi nhận việc phát hiện lỗ hổng trong Outlook là nhờ một nhà nghiên cứu đã “sử dụng Claude của Anthropic” — và lỗ hổng này đã bị khai thác ngay khi được phát hiện. Trong cùng một khoảng thời gian, các kẻ tấn công đã sử dụng trợ lý AI để xây dựng chuỗi khai thác php2shell nhằm chiếm quyền điều khiển các tường lửa của Palo Alto. Cả việc phát hiện lẫn khai thác đều diễn ra với tốc độ nhanh chóng, trong cùng một chu kỳ tin tức.

4. Thiệt hại thực sự trong tháng này đến từ PHP, chứ không phải Microsoft

CVE-2026-109618 và CVE-2026-109619 là các lỗ hổng RCE không cần xác thực trong chính lõi PHP — EPSS 0,9999, mức cao nhất trong số các lỗ hổng CVE trong đợt này. Hệ thống bẫy (honeypot) của Amazon đã phát hiện một nỗ lực khai thác bốn ngày trước khi thông tin được công bố công khai, khi thông tin này vẫn đang trong giai đoạn cấm tiết lộ. Ít nhất 25 tường lửa của Palo Alto đã bị xâm nhập. Không có thông tin nào trong số này xuất hiện trong bản tin Patch Tuesday.

5. Khối lượng giao dịch tiếp tục sụt giảm do tâm lý e ngại rủi ro

1.095 lỗ hổng CVE của Microsoft, trong đó có 1 lỗ hổng bị khai thác — chiếm 0,09%. Dữ liệu từ VulnCheck cho thấy số lượng lỗ hổng CVE được công bố tăng 45% so với cùng kỳ năm ngoái, trong khi số lỗ hổng được xác nhận là đã bị khai thác tăng 10%, và tỷ lệ lỗ hổng bị khai thác đã giảm xuống còn 1,4% từ mức đỉnh 2,7%. Tuy nhiên, thời gian trung vị từ khi công bố đến khi bị khai thác đã giảm từ 120 ngày xuống còn 80 ngày. Số lượng lỗ hổng đang giảm dần; thời gian trước khi bị khai thác ngày càng ngắn lại.

Hướng dẫn về các biện pháp giảm thiểu

Năm bản vá lỗi của Microsoft cần có kế hoạch cụ thể, chứ không chỉ đơn thuần là cài đặt bản vá. Đối với từng trường hợp: kẻ tấn công thực sự sẽ lợi dụng lỗ hổng đó như thế nào, những điểm cần lưu ý trong hệ thống của bạn, và những việc cần làm ngoài việc triển khai bản cập nhật.

CVE-2026-124194 — Microsoft Outlook, rò rỉ giá trị băm NTLM

ĐÃ BỊ TẬN DỤNG · CVSS 6.5 · Mức độ chín muồi của lỗ hổng: Cao · KEV hết hạn vào ngày 24 tháng 11 năm 2026 · CWE-356

Microsoft phân loại đây là hành vi giả mạo; về mặt chức năng, đây là một vụ rò rỉ thông tin đăng nhập. Một tệp tin tin nhắn được thiết kế đặc biệt khiến Outlook kết nối với một vị trí do kẻ tấn công kiểm soát mà không hiển thị cảnh báo nội dung bên ngoài như thường lệ, và sau đó Windows sẽ tự động xác thực, từ đó tiết lộ giá trị băm NTLMv2 của người dùng. Mức 6,5 phản ánh tác động chỉ liên quan đến tính bảo mật cùng với yêu cầu tương tác từ phía người dùng — mức này không đề cập gì đến giá trị thực sự của thông tin đăng nhập miền được chuyển tiếp.

Cách các kẻ tấn công lợi dụng lỗ hổng này

• Gửi một tệp tin tin nhắn được thiết kế sẵn; người dùng sẽ mở tệp tin đó. Khung xem trước không phải là một đối tượng vector — tệp phải được mở.
• Outlook kết nối với các máy chủ bên ngoài và Windows tự động xác thực, dẫn đến việc lộ thông tin băm NTLMv2.
• Hãy truyền tải trực tiếp dữ liệu này khi đối mặt với bất kỳ dịch vụ nào không hỗ trợ ký SMB/LDAP hoặc tính năng Bảo vệ mở rộng cho xác thực, hoặc bẻ khóa nó ngoại tuyến một cách thoải mái.

Những điều cần lưu ý

• Giao thức SMB đi (cổng 445) đến các đích bên ngoài ngay sau khi tệp tin tin nhắn được mở.
• Các nỗ lực xác thực NTLM đến các đích trên Internet — hãy kiểm tra nhật ký sự kiện “NTLM Operational”.
• Việc ký SMB, ký LDAP và EPA có thực sự được áp dụng hay không. Chính những yếu tố này mới biến một giá trị băm bị rò rỉ từ một vụ vi phạm thành một mối phiền toái.
• Chưa có báo cáo IOC nào được công bố và chưa có đối tượng nào được nêu tên, do đó, phương pháp “săn lùng dựa trên hành vi” là lựa chọn duy nhất.

Hướng dẫn về các biện pháp giảm thiểu

• Hãy triển khai bản cập nhật Office, chứ không chỉ gói cập nhật tổng hợp của Windows. Microsoft 365 Apps for Enterprise và Office LTSC 2021/2024 đã bao gồm bản sửa lỗi này. Đây là trường hợp phổ biến nhất khiến bạn lầm tưởng rằng mình đã cài đặt bản vá nhưng thực tế lại chưa.
• Các điểm cuối được ưu tiên hơn máy chủ. Việc gửi thông tin được thực hiện qua email và đối tượng nhận là một cá nhân.
• Hãy kích hoạt tính năng ký SMB và LDAP cũng như tính năng Bảo vệ mở rộng cho xác thực nếu bạn chưa thực hiện. Các biện pháp này sẽ ngăn chặn hiệu quả các cuộc tấn công chuyển tiếp đối với mọi biến thể trong tương lai của lỗ hổng này, không chỉ riêng lỗ hổng CVE này.
• Chặn lưu lượng SMB đi ra bên ngoài tại lớp bảo vệ biên. Hiếm khi có lý do chính đáng nào cho việc này.

CVE-2026-116928 — Thành phần Tìm kiếm của Windows, Thực thi mã từ xa

NGUY HIỂM · CVSS 9.8 · AV:N / PR:N / UI:N · Điều kiện kích hoạt: tệp đính kèm được lập chỉ mục · Chưa bị khai thác

Lỗ hổng RCE trước khi xác thực mà không cần tương tác từ người dùng. Điểm khác biệt khiến lỗ hổng này nổi bật hơn so với các lỗ hổng khác cùng mức độ nghiêm trọng 9.8: một tệp đính kèm độc hại được gửi đến máy chủ Exchange sẽ được xử lý tự động khi được lập chỉ mục. Không ai cần mở bất kỳ tệp nào. Để khắc phục hoàn toàn lỗ hổng này, cần phải cài đặt cả bản vá cho Windows lẫn bản vá cho Exchange.

Cách các kẻ tấn công lợi dụng lỗ hổng này

• Gửi tệp đính kèm đã được tạo sẵn đến bất kỳ hộp thư nào trên máy chủ Exchange có bật tính năng lập chỉ mục.
• Trình lập chỉ mục tìm kiếm sẽ phân tích và thực thi thông điệp đó trước khi con người nhìn thấy nó.

Những điều cần lưu ý

• Các máy chủ Exchange có tính năng lập chỉ mục nội dung được bật — tức là hầu hết các máy chủ này.
• Các tiến trình con không mong muốn phát sinh từ trình lập chỉ mục tìm kiếm hoặc các thành phần truyền tải Exchange.
• Các máy chủ tệp có bật Windows Search trên các thư mục chia sẻ cho phép tải lên.

Hướng dẫn về các biện pháp giảm thiểu

• Bản vá cả Windows và Exchange. Một nửa bản vá vẫn để lộ lỗ hổng.
• Hãy xử lý vấn đề này với mức độ khẩn cấp tương tự như đối với lỗ hổng đã bị khai thác — không cần xác thực, không có tương tác và sử dụng cơ chế truyền tải mà mọi tổ chức đều đang vận hành.
• Hãy xác nhận rằng bản cập nhật đã được triển khai đến tất cả các máy chủ trong DAG, chứ không chỉ máy chủ mà bạn đã kiểm tra.

CVE-2026-119958 — LDAP trên Windows, Thực thi mã từ xa

NGUY HIỂM · CVSS 9.8 · Ghi ngoài phạm vi · AV:N / PR:N / UI:N · Chưa bị khai thác

Lỗi ghi ngoài phạm vi không được xác thực trong dịch vụ LDAP. LDAP chạy trên mọi bộ điều khiển miền, khiến vấn đề này trở thành phiên bản tháng 11 của sự cố DNS: dịch vụ dễ bị tấn công và các tài sản quan trọng nhất đều nằm trên cùng một máy chủ.

Cách các kẻ tấn công lợi dụng lỗ hổng này

• Gửi lưu lượng LDAP được tạo sẵn đến một bộ điều khiển miền có thể truy cập được. Không cần thông tin đăng nhập, cũng không cần nhấp vào bất kỳ đâu.
• Thực thi trong bối cảnh dịch vụ LDAP — trên một máy chủ miền (DC), tức là chính thư mục đó.

Những điều cần lưu ý

• Những mạng nào có thể đạt được chỉ số 389/636 tại các trung tâm dữ liệu của bạn? Câu trả lời thường là “nhiều hơn mức bạn mong muốn”.
• Dịch vụ LDAP bị treo hoặc khởi động lại mà không có thay đổi tương ứng.
• Các trung tâm dữ liệu (DC) tiếp xúc với các phân đoạn khách, truy cập từ xa hoặc OT.

Hướng dẫn về các biện pháp giảm thiểu

• Trước hết là các bộ điều khiển miền, sau đó mới đến hệ thống máy chủ chung. Mọi thành phần khác trong hệ thống thư mục đều phụ thuộc vào chúng.
• Hạn chế khả năng kết nối LDAP trong quá trình triển khai. Các biện pháp kiểm soát mạng giúp kéo dài thời gian; chỉ có bản vá mới khắc phục được lỗi.
• Trong khi bạn đang ở đó: nếu việc ký LDAP không được áp dụng bắt buộc, tháng này sẽ mang đến cho bạn hai lý do độc lập để khắc phục vấn đề đó.

CVE-2026-88218 — Lỗ hổng “ Server ” trong DNS của Windows, cho phép thực thi mã từ xa

NGUY HIỂM · CVSS 9.8 · AV:N / PR:N / UI:N · 4 lỗ hổng CVE liên quan đến DNS trong chu kỳ này · Chưa bị khai thác

Lỗ hổng cho phép thực thi mã từ xa mà không cần xác thực trong dịch vụ DNS của Windows, là một trong bốn lỗ hổng DNS trong chu kỳ này và nằm trong số 30 CVE mà ZDI đánh giá là có khả năng lây lan dưới dạng sâu máy tính. Trong hầu hết các hệ thống, dịch vụ DNS Server chạy trên các bộ điều khiển miền, do đó lỗ hổng này ảnh hưởng đến cùng một vị trí như lỗ hổng LDAP nêu trên — điều này có nghĩa là chỉ cần một khoảng thời gian bảo trì là có thể khắc phục cả hai.

Cách các kẻ tấn công lợi dụng lỗ hổng này

• Gửi một gói tin được thiết kế sẵn đến bất kỳ máy chủ DNS Windows nào có thể kết nối được.
• Thực thi trong bối cảnh dịch vụ DNS; trên một máy chủ miền (DC) cùng hệ thống, điều này tạo ra một con đường trực tiếp dẫn đến việc xâm nhập miền.

Những điều cần lưu ý

• Các máy chủ DNS cùng chia sẻ máy chủ với Active Directory — hãy kiểm tra danh sách tài sản trước khi lên lịch, chứ không phải trong quá trình thực hiện.
• Có thể truy cập DNS của Windows từ các VLAN của người dùng, các dải địa chỉ truy cập từ xa hoặc Internet.
• Ba lỗ hổng bảo mật DNS (CVE) còn lại trong bản phát hành này; hãy vá chúng thành một gói duy nhất.

Hướng dẫn về các biện pháp giảm thiểu

• Kết hợp với bản vá LDAP vào một khung thời gian bảo trì DC duy nhất. Việc có hai phiên bản 9.8 trên cùng một máy chủ là lý do chính đáng để đẩy sớm khung thời gian này.
• “Chỉ sử dụng nội bộ” không phải là biện pháp giảm thiểu rủi ro khi điểm xâm nhập ban đầu là một chiếc máy tính xách tay bị lừa đảo.
• Kiểm tra tình trạng hoạt động của dịch vụ sau khi triển khai bản cập nhật tổng hợp — bốn bản sửa lỗi DNS trong một chu kỳ sẽ tạo ra diện tích thoái lui lớn hơn bình thường.

CVE-2026-119952 — Windows Schannel, Thực thi mã từ xa

NGUY HIỂM · CVSS 8.1 · Khả năng bị khai thác cao hơn · AV:N / PR:N / UI:N · Chưa bị khai thác

Schannel là bản triển khai TLS trên Windows — nó hoạt động ở tầng nền tảng của mọi thành phần kết thúc kết nối được mã hóa. Mặc dù mức độ nghiêm trọng của lỗ hổng này thấp hơn so với các lỗ hổng nêu trên, nhưng đây là một trong số rất ít lỗ hổng được xếp hạng “Khả năng bị khai thác cao hơn” trong bản phát hành này, qua đó Microsoft đang cho biết họ dự đoán nguồn gốc của các cuộc tấn công vũ khí hóa tiếp theo sẽ đến từ đâu.

Cách các kẻ tấn công lợi dụng lỗ hổng này

• Tiếp cận bất kỳ dịch vụ nào kết thúc TLS thông qua Schannel — IIS, RDP, LDAPS, SMB qua TLS.
• Thực thi trong quá trình bắt tay, trước khi đến giai đoạn xác thực.

Những điều cần lưu ý

• Mọi dịch vụ Windows kết nối với Internet đều thực hiện việc kết thúc kết nối TLS. Phạm vi bị ảnh hưởng rộng hơn so với những gì tên của bất kỳ sản phẩm riêng lẻ nào có thể gợi ý.
• Các lỗi Schannel hoặc sự cố thiết lập kết nối xuất hiện dồn dập trong nhật ký sự kiện hệ thống.

Hướng dẫn về các biện pháp giảm thiểu

• Hãy đánh giá cao hơn mức 8,1 theo thang điểm của Microsoft. “Khả năng bị khai thác cao hơn” là một nhận định mang tính dự báo; trong khi đó, CVSS chỉ là một mô tả tĩnh.
• Trước tiên là các thiết bị kết thúc TLS kết nối với Internet, sau đó mới đến các thiết bị nội bộ.
• Không có giải pháp thay thế nào về mặt cấu hình — không thể tắt Schannel. Bản cập nhật chính là biện pháp kiểm soát.

Các bản phát hành của bên thứ ba

Nơi thực sự xảy ra việc khai thác lỗ hổng. Trong số 43 lỗ hổng CVE được xác nhận đã bị khai thác trong khoảng thời gian này, có 42 lỗ hổng xuất phát từ bên ngoài Microsoft. Trong số đó, có 9 lỗ hổng liên quan đến các thiết bị biên hoặc thiết bị bảo vệ biên.

PHP và Palo Alto

php2shell · EPSS 0,9999 · ĐÃ BỊ TẬN DỤNG

CVE-2026-109618 và CVE-2026-109619 là các lỗ hổng RCE không cần xác thực trong chính lõi PHP, được công bố vào ngày 21 tháng 10. Một lỗ hổng gây ra lỗi bộ nhớ trong quá trình dọn dẹp yêu cầu sau khi xảy ra tình trạng hết bộ nhớ; lỗ hổng còn lại tái sử dụng trạng thái yêu cầu đã hết hạn trên một worker được tái sử dụng. Chúng ảnh hưởng đến mọi bản cài đặt PHP phục vụ các yêu cầu web — PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed — trong đó mod_php là nghiêm trọng nhất, vì việc khai thác diễn ra trước khi mã ứng dụng được thực thi. Các lỗ hổng này đã được khắc phục trong các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35.

Hệ thống bẫy MadPot của Amazon đã ghi nhận một nỗ lực khai thác vào ngày ngày 17 tháng 10, bốn ngày trước khi thông tin được công bố và vẫn đang trong giai đoạn cấm tiết lộ. Những kẻ tấn công đã kết hợp lỗ hổng này với một lỗ hổng leo thang đặc quyền kernel có tên Fragnesia để triển khai các web shell root trên các giao diện quản lý tường lửa Palo Alto; Dream Research phát hiện ít nhất 25 hệ thống bị xâm nhập. Palo Alto cho biết: “Không cần cấu hình đặc biệt nào để bị ảnh hưởng.” Theo SecurityWeek, những kẻ tấn công đã sử dụng sự hỗ trợ của trí tuệ nhân tạo (AI) để xây dựng chuỗi tấn công này.

Ivanti

Kết nối Secure · chuỗi đã đóng · ĐÃ BỊ LỢI DỤNG

Bản tin tháng 10 đã chỉ ra rằng chuỗi lỗ hổng “Connect Secure ” có một mắt xích chưa được vá. Hiện tại, lỗ hổng này đã được khắc phục. CVE-2026-111357 (CVSS 8.8, thiếu xác thực trong dịch vụ bảo trì gốc dsinvoked) và CVE-2026-118527 (4.3, các định danh có thể dự đoán được cho phép cuộc đua tải lên) đã được phát hành vào ngày 29 tháng 10 trong các phiên bản 25.1.1.3 và 22.8R2.6. Cả hai lỗ hổng đều được đưa vào KEV vào ngày 30 tháng 10; hạn chót cho lỗ hổng 118527 là ngày 13 tháng 11 — chỉ còn hai ngày nữa.

Thông tin chi tiết của Volexity về UTA0576 rất đáng để tham khảo: giai đoạn dsinvoked đã chạy một payload Python để tạm thời sửa đổi một thư viện trong bộ nhớ, chuyển hướng một tác vụ bảo trì để thực thi với quyền root, sau đó khôi phục lại cấu hình và trạng thái bộ nhớ ban đầu. Không có web shell, không có backdoor tồn tại lâu dài — các lệnh được truyền qua các yêu cầu HTTPS lặp đi lặp lại. Giai đoạn khai thác sau đó đã trích xuất mật khẩu quản trị viên LAPS của Windows và các khóa khôi phục BitLocker. Thiết bị bị xâm nhập đã được cập nhật đầy đủ các bản vá tại thời điểm đó. “Chỉ riêng kết quả kiểm tra tính toàn vẹn sạch sẽ không đủ để loại trừ khả năng bị xâm nhập.”

Adobe

110 lỗ hổng CVE · 9 thông báo · NGUY HIỂM

Adobe Connect là tiêu đề chính — APSB26-191, với 24 lỗ hổng CVE, trong đó 18 lỗ hổng được xếp hạng Nghiêm trọng, đạt mức CVSS 10.0 và có thể khai thác qua mạng mà không cần xác thực cũng như không cần tương tác từ người dùng. ZDI gọi đây là bản tin bảo mật lớn nhất và nghiêm trọng nhất của Adobe trong tháng. Experience Manager (APSB26-189) bổ sung thêm 14 lỗ hổng nữa, bao gồm bốn lỗ hổng có mức độ nghiêm trọng 9.9 chỉ cần tài khoản có quyền hạn thấp để khai thác.

Chỉ có hai bản tin đó thuộc Mức độ ưu tiên 2; bảy bản tin còn lại thuộc Mức độ ưu tiên 3. Không có lỗ hổng nào trong đợt cập nhật của Adobe tháng này bị khai thác — nhưng CVE-2026-48356, một lỗ hổng cho phép tải lên tệp không bị hạn chế trong Commerce và Magento, đã được đưa vào KEV vào ngày 27 tháng 10 với chỉ số EPSS là 0,475. Đây là tháng thứ ba liên tiếp một lỗ hổng trong Adobe Commerce được xác nhận là đã bị khai thác.

SAP

43 ghi chú · 12 Tin nóng · QUAN TRỌNG

Onapsis gọi đây là một kỷ lục: 43 bản ghi chú bảo mật mới và được cập nhật, 12 tin nóng (HotNews) và bốn lỗ hổng theo thang điểm CVSS 10.0, tất cả đều không yêu cầu xác thực. Hai trong số đó là cặp lỗ hổng làm hỏng bộ nhớ ICM2SHELL — CVE-2026-76964 (NetWeaver AS ABAP) và CVE-2026-89126 (Web Dispatcher và HANA XSA). CVE-2026-89103 là lỗ hổng PROXYGATE, liên quan đến lỗi kiểm soát truy cập trong SAP Gateway, còn CVE-2026-120017 là lỗ hổng thiếu xác thực trong nhà cung cấp dịch vụ SAML2 của NetWeaver.

Hai bẫy hoạt động. PROXYGATE cần thay đổi thủ công các thông số cấu hình sau khi vá lỗi — bản vá này không đủ để khắc phục lỗ hổng. Ngoài ra, giải pháp tạm thời vô hiệu hóa WebSocket cho lỗ hổng ICM2SHELL không được SAP khuyến nghị. Các nhà nghiên cứu đã cung cấp cho SAP các mã khai thác hoạt động; hiện chưa có báo cáo nào về việc khai thác lỗ hổng này trong thực tế.

Thiết bị Edge

Citrix · SonicWall · Barracuda · ĐÃ BỊ TẬN DỤNG

Barracuda là thông tin mới nhất: CVE-2026-116606 (vượt qua xác thực) và CVE-2026-111560 (tiêm lệnh hệ điều hành) được kết hợp một cách rõ ràng, Barracuda xác nhận các cuộc tấn công nhắm vào “một số ít tổ chức”, watchTowr đã công bố mã khai thác, và cả hai đều sẽ được công bố vào ngày 13 tháng 11.

Lỗ hổng SonicWall CVE-2026-19868 (phiên bản 7.1) cho phép người dùng có thông tin đăng nhập hợp lệ (không phải SAML) vượt qua cơ chế xác thực hai yếu tố (MFA) được áp dụng qua SAML trên SSL-VPN. Không có giải pháp tạm thời; các bản vá là 7.3.4-7013 và 8.2.3-8015, dự kiến phát hành vào ngày 20 tháng 11. Citrix đã phát hành bản vá cho lỗ hổng CVE-2026-107406 (CVSS 9.5, NetScaler được cấu hình SAML) vào ngày 8 tháng 10, cùng với một gói cập nhật riêng cho lỗ hổng php2shell trong các phiên bản 14.1-73.49 / 13.1-64.32, bao gồm cả các bản vá cho các lỗ hổng phát hiện vào tháng 9 và tháng 10.

Mozilla Firefox

160 · 99 lỗ hổng CVE · KHÔNG CÓ LỖI BỊ LỢI DỤNG

Firefox 160 (MFSA 2026-125) đã được phát hành vào ngày Patch Tuesday với 99 lỗ hổng bảo mật (CVE) — trong đó có 57 lỗ hổng mức Nguy hiểm cao, 24 lỗ hổng mức Trung bình, 18 lỗ hổng mức Thấp và không có lỗ hổng mức Nguy hiểm nghiêm trọng. ESR 115.45 và 153.7 cũng được phát hành cùng lúc, cùng với Thunderbird 160 và 153.7. Con số 99 lỗ hổng trong một bản phát hành trình duyệt này cao hơn nhiều so với mức trung bình lịch sử của Mozilla và có cùng xu hướng về số lượng với Microsoft, mặc dù Mozilla chưa công khai cho rằng điều này là do việc phát hiện lỗ hổng được hỗ trợ bởi trí tuệ nhân tạo (AI).

Apple

Một lỗ hổng CVE năm 2024, hiện đã bị khai thác · ĐÃ BỊ LỢI DỤNG

Vào ngày 9 tháng 11, Apple đã phát hành các bản cập nhật cho iOS/iPadOS 27.2.1, 26.7.3 và 18.7.12, cùng với ba nhánh macOS. Việc có ba nhánh iOS được phát hành đồng thời vốn đã là một dấu hiệu — Lee Neely của SANS cho biết: “Tôi đặc biệt chú ý khi Apple phát hành các bản vá cho hơn hai phiên bản.”

Lỗ hổng đáng chú ý hơn lại là một lỗ hổng cũ hơn. CVE-2024-27834 — một lỗ hổng vượt qua xác thực con trỏ với điểm CVSS 5.5 mà Apple đã vá vào tháng 5 năm 2024 — đã được đưa vào cơ sở dữ liệu KEV vào ngày 4 tháng 11. Sekoia cho rằng nhóm đứng sau vụ khai thác này là APT29 / Midnight Blizzard, được triển khai thông qua các trang web hợp pháp bị xâm nhập và một lỗ hổng trong chuỗi cung ứng của công cụ theo dõi SEO Plerdy, trong một chuỗi tấn công không cần nhấp chuột (zero-click) kết thúc bằng một phần mềm đánh cắp thông tin (infostealer) nhằm lấy cắp thông tin xác thực ( cookie). Một lỗ hổng có mức độ nghiêm trọng trung bình đã tồn tại được hai năm rưỡi, được một thực thể nhà nước tận dụng để thực hiện các hoạt động tấn công.

Điều này có ý nghĩa gì nếu bạn gửi hàng? Software

Điểm nổi bật của tháng này không phải là quy mô. Mà là việc hai sự kiện có tác động lớn nhất — việc phát hiện lỗ hổng duy nhất của Microsoft bị khai thác và vụ tấn công vào tường lửa của Palo Alto — đều liên quan đến sự hỗ trợ của trí tuệ nhân tạo (AI), ở hai phía đối lập, chỉ cách nhau ba tuần. Một nhà nghiên cứu đã sử dụng AI để phát hiện một lỗ hổng vốn đã bị khai thác. Một kẻ tấn công đã sử dụng AI để xây dựng chuỗi tấn công nhằm chiếm quyền kiểm soát các thiết bị sản xuất.

Và yếu tố thực sự khiến hệ thống bị xâm nhập chính là PHP: một thành phần phụ thuộc, chứ không phải là sản phẩm. Việc nắm rõ những gì có trong sản phẩm của bạn và trên các điểm cuối trước khi lỗ hổng CVE được công bố chính là chìa khóa thành công. Đó chính là chuỗi thông tin mà Bảng điều khiển Phát hiện & Cập nhật bản vá OESIS theo dõi: ứng dụng nào đã được cài đặt, ứng dụng đó chứa những lỗ hổng CVE nào, và liệu đã có bản vá cho chúng hay chưa.

Ma trận mức độ ưu tiên

Bốn nhóm, bắt đầu từ nhóm có mức độ nghiêm trọng cao nhất. Việc phân loại nhóm dựa trên mức độ tiếp xúc và khai thác, chứ không dựa trên điểm CVSS — đó là lý do tại sao mức 6,5 lại đứng đầu trong khi mức 10,0 lại nằm ở cuối bảng. Phạm vi phân tích tập trung vào phần mềm mà hầu hết các tổ chức thực tế đang sử dụng; bộ dữ liệu đầy đủ bao gồm tất cả 43 lỗ hổng CVE đã bị khai thác và mọi nhà cung cấp trong chu kỳ này.

P1 — NGAY BÂY GIỜ Trong vòng 24 giờ 19 trong số 43 trường hợp bị khai thác

Đã xác nhận bị khai thác trong thực tế — được quan sát thấy, không phải dự đoán. Sắp xếp theo thứ tự từ mới nhất đến cũ nhất: các hàng trên cùng là những nội dung mà chu kỳ trước chưa đề cập đến.

Các dòng Microsoft và Chrome không có chỉ số EPSS vì mô hình chưa chấm điểm cho chúng tại thời điểm chụp ảnh chụp nhanh này. 24 lỗ hổng CVE còn lại nằm trong các máy chủ đa phương tiện, thiết bị sao lưu, công cụ phát triển và đợt lỗ hổng cũ ngày 8 tháng 10; tất cả 43 lỗ hổng này đều có thể tìm kiếm được trên Bảng điều khiển CVE của OPSWAT .

P2 — TUẦN NÀY Trong vòng 72 giờ 12 trong số 32

Windows, không cần xác thực, có thể truy cập qua mạng, không cần tương tác từ người dùng. Bạn không cần nhấp vào bất kỳ thứ gì để những yếu tố này ảnh hưởng đến mức độ rủi ro của bạn. Trước tiên là các vai trò của Server — và lưu ý rằng cả DNS và LDAP đều được triển khai trên các máy chủ điều khiển miền.

Tháng này không có chuyên mục EPSS. Tại thời điểm chụp ảnh nhanh này, mô hình chỉ phát hiện được 1 trong số 1.095 lỗ hổng CVE của Microsoft — so với mức độ bao phủ gần như toàn diện vào tháng 10, từ một lần chạy vào gần như cùng khung giờ. Điểm số EPSS được cập nhật theo lịch trình riêng của chúng, và một cột toàn dấu gạch ngang sẽ ngụ ý mức độ rủi ro thấp thay vì không có dữ liệu. Dù sao thì đối với các trường hợp khai thác đã được xác nhận, đây vốn dĩ không phải là tín hiệu xếp hạng phù hợp.

P3 — CHU KỲ NÀY Trong vòng 7 ngày 8 lỗ hổng bảo mật (CVE)

Cả hai đều quan trọng và có thể thực hiện được, nhưng mỗi phương án đều cần một điều kiện tiên quyết — thông tin xác thực, phiên làm việc đã được xác thực, hoặc tệp tin đã được gửi. Dòng “Proof-of-Concept” thuộc về phần “mức độ hoàn thiện của lỗ hổng” ở đây, bất kể điểm số của nó là bao nhiêu.

P4 — KHÔNG CÓ HÀNH ĐỘNG Chỉ để biết 4 lỗ hổng bảo mật (CVE)

Phía máy chủ. Microsoft đã khắc phục các lỗ hổng này trên hệ thống của họ; khách hàng không cần phải triển khai bất kỳ điều gì. Họ thực hiện việc sắp xếp theo điểm CVSS thô hàng tháng — và đó chính là lý do tại sao các lỗ hổng này được liệt kê ở đây thay vì để lại gây nhầm lẫn cho người dùng.

Kế hoạch 72 giờ

Những điều mà ma trận ưu tiên không cho bạn biết.

Sự kiện tiếp theo trong lịch là gì?

Nguồn

Trước tiên là các thông báo từ nhà cung cấp chính.

1. Trung tâm Ứng phó An ninh Microsoft, tài liệu CVRF số 2026-Nov, bản sửa đổi ngày 11 tháng 11 năm 2026 — danh sách CVE chuẩn, chỉ số CVSS do Microsoft chỉ định và các vectơ thời gian.
2. Danh mục các lỗ hổng bảo mật đã được khai thác do CISA công bố và FIRST EPSS.
3. Zero Day Initiative, Bài đánh giá bản cập nhật bảo mật tháng 11 năm 2026.
4. Tenable, bản cập nhật Patch Tuesday tháng 11 năm 2026 khắc phục 1.093 lỗ hổng bảo mật (CVE); Krebs on Security; Rapid7.
5. Các thông báo của PHP Group về CVE-2026-109618 và CVE-2026-109619; Công cụ theo dõi sản phẩm php2shell của NCSC-NL; Bài viết của SecurityWeek về các vụ xâm nhập tại Palo Alto.
6. Bài viết của Volexity về UTA0576 và Ivanti Connect Secure; Các thông báo bảo mật của Ivanti liên quan đến CVE-2026-111357 và CVE-2026-118527.
7. Onapsis, Ngày phát hành bản vá bảo mật SAP, tháng 11 năm 2026.
8. Các bản tin bảo mật của Adobe (APSB26-191, -189 và các bản khác).
9. Mozilla, MFSA 2026-125 (Firefox 160).
10. Citrix CTX697191; SonicWall SNWLID-2026-0014; Các thông báo cảnh báo của Barracuda; Bài viết trên The Hacker News về CVE-2024-27834 và APT29.
11. VulnCheck về các lỗ hổng bảo mật được phát hiện bằng trí tuệ nhân tạo (AI) và tỷ lệ khai thác.

Phương pháp luận. Số lượng tiêu đề là các CVE mà Microsoft đã phân loại với mức độ tác động trong CVRF, không bao gồm 267 CVE của bên thứ ba được tái công bố. Các giá trị CVSS và mức độ chín muồi khai thác của Microsoft được nhà cung cấp chỉ định từ CVRF; CVSS của bên thứ ba lấy từ NVD hoặc nhà cung cấp trong trường hợp CISA không công bố. EPSS là một mô hình dự đoán và chỉ được báo cáo, không bao giờ được sử dụng để xếp hạng các trường hợp khai thác đã được xác nhận — trong tháng này, tại thời điểm thu thập dữ liệu, mô hình này chỉ chấm điểm cho một trong số 1.095 CVE của Microsoft, đó là lý do tại sao nó không xuất hiện trong các bảng của Microsoft. Ma trận mức độ ưu tiên được giới hạn trong phạm vi phần mềm doanh nghiệp phổ biến; tập dữ liệu cơ sở bao gồm tất cả 43 CVE được xác nhận đã bị khai thác trong khoảng thời gian từ ngày 8 tháng 10 đến ngày 10 tháng 11, và mọi nhà cung cấp trong chu kỳ này. Trạng thái khai thác phản ánh thông tin từ CISA KEV và xác nhận từ chính nhà cung cấp, không phải các tuyên bố từ bên thứ ba.

Dữ liệu tính đến ngày 11 tháng 11 năm 2026. CISA KEV và EPSS được cập nhật liên tục, và Microsoft điều chỉnh CVRF sau khi phát hành — các số liệu ở đây phản ánh bản điều chỉnh ngày 11 tháng 11 và danh mục tại thời điểm sáng hôm đó. Hướng dẫn giảm thiểu rủi ro mang tính tổng quát và được rút ra từ các đặc điểm đã công bố của từng lỗ hổng; hướng dẫn này không thay thế cho việc kiểm thử trong môi trường cụ thể của bạn.