Bản vá Microsoft tháng 11/2026: lỗi Outlook bị khai thác

Ngày 10/11/2026 (11/11 theo giờ Nhật), Microsoft phát hành bản cập nhật bảo mật định kỳ hằng tháng. Bản cập nhật sửa 1.094 lỗ hổng trong các sản phẩm Microsoft, gồm Windows, Office, Exchange Server và SQL Server. Trong đó, một lỗi của Outlook (CVE-2026-124194) đã bị dùng trong các cuộc tấn công.

IPA và JPCERT/CC của Nhật cũng ra cảnh báo cùng ngày, kêu gọi cập nhật sớm. Bài viết này tóm tắt những điểm cần kiểm tra trước trong tháng này, số hiệu bản cập nhật của từng sản phẩm và các bước cập nhật máy tính và máy chủ trong công ty.

Lỗi Outlook đã bị khai thác

Theo Microsoft, CVE-2026-124194 hoạt động như sau. Kẻ tấn công gửi một tệp tin nhắn được chế tạo đặc biệt. Khi người dùng mở tệp trong Outlook, Outlook kết nối tới máy chủ do kẻ tấn công kiểm soát mà không hiện cảnh báo thông thường. Việc này có thể làm lộ NTLMv2 hash của người dùng, và kẻ tấn công có thể dùng nó để đăng nhập thay người đó.

• Microsoft đánh giá mức Moderate, CVSS 6.5. Điểm số không cao, nhưng đã có tấn công thực tế.
• Người dùng phải mở tệp. Microsoft cho biết khung xem trước (Preview Pane) không phải là đường tấn công.
• CISA đưa lỗi vào KEV ngày 10/11 và yêu cầu các cơ quan liên bang Mỹ xử lý trước ngày 24/11.

Ngoài việc cập nhật, các biện pháp chung sau cũng có ích. Microsoft không nêu các biện pháp này cho lỗi này; đây là cách phòng chung trước các cuộc tấn công đánh cắp NTLM hash.

• Chặn bằng firewall lưu lượng chia sẻ tệp (SMB, cổng TCP 445) đi ra Internet
• Nhắc nhân viên không mở tệp đính kèm hoặc tệp tin nhắn lạ
• Không đọc email hằng ngày bằng tài khoản quản trị

Lỗi trên máy chủ nên ưu tiên

Các lỗi dưới đây chưa được xác nhận bị khai thác. Chúng tôi chọn những lỗi có thể bị tấn công mà không cần đăng nhập, hoặc Microsoft đánh giá "Exploitation More Likely".

Lưu ý: Outlook cũng được sửa các lỗi chạy mã có thể kích hoạt qua khung xem trước (CVE-2026-110043 và các lỗi khác).

Bản cập nhật (KB) theo sản phẩm

Dưới đây là bản cập nhật và số build sau khi cập nhật của các sản phẩm chính, lấy từ dữ liệu Microsoft công bố. Nếu build hiển thị bằng lệnh winver là số này hoặc mới hơn thì đã cài xong.

Lưu ý: Windows Server 2025 còn có bản "hotpatch" giảm số lần khởi động lại. Với SQL Server, bản cần cài phụ thuộc vào nhánh cập nhật đang dùng (CU hoặc GDR).

5 bước xử lý

1. Liệt kê máy tính và máy chủ

   Ghi lại phiên bản Windows, loại Office, có dùng Exchange Server hay SQL Server không. Nếu phân phối bản cập nhật qua Windows Update, Intune hoặc WSUS, kiểm tra cả tình trạng phân phối.

2. Cập nhật trước các máy dùng Outlook

   Vì lỗi đã bị khai thác, hãy cập nhật Office sớm. Với Microsoft 365 Apps, kiểm tra xem cập nhật tự động có bị tắt không.

3. Cập nhật máy chủ mở ra Internet

   Ưu tiên Exchange Server, IIS và domain controller. Nếu có môi trường thử nghiệm, cài ở đó trước và kiểm tra hoạt động.

4. Khởi động lại

   IPA lưu ý có thể cần khởi động lại sau khi cập nhật. Trì hoãn khởi động lại đồng nghĩa bản sửa chưa có hiệu lực.

5. Xác nhận đã cài xong

   So số build với bảng trên. Máy nào cài không thành công thì tìm nguyên nhân và cài thủ công.

Cẩn thận với sản phẩm đã hết hỗ trợ

Các sản phẩm sau đã hết hỗ trợ từ ngày 14/10/2025. Tháng này không có bản cập nhật, hoặc chỉ có khi mua gói gia hạn trả phí.

Nếu vẫn còn dùng sản phẩm cũ, hãy xem "bảo mật cho hệ thống cũ". Về .NET, xem ".NET 8 và 9 hết hỗ trợ".

Để nguyên hay xử lý ngay?

Hãy để Digi Dinos hỗ trợ

Digi Dinos hỗ trợ doanh nghiệp về DX, bảo mật, vận hành và bảo trì hệ thống. Chúng tôi đạt chứng nhận ISO 27001, có dịch vụ vận hành máy chủ và cloud, giám sát 24/7 (NOC). Đội ngũ của chúng tôi làm việc với khách hàng bằng tiếng Nhật.

• Vận hành cập nhật hằng tháng: kiểm tra, thử nghiệm, cài đặt và báo cáo theo quy trình cố định.
• Kiểm kê máy chủ: liệt kê phiên bản Windows Server, Exchange, SQL Server và thời hạn hỗ trợ.
• Tiếp nhận vận hành: tiếp nhận cả hệ thống mà người phụ trách đã nghỉ hoặc do công ty khác quản lý.

Nếu gặp khó khăn khi bàn giao, hãy xem "tiếp nhận bảo trì hệ thống".

Câu hỏi thường gặp