Microsoft tung ra bản cập nhật vá 130 lỗ hổng nghiêm trọng

Microsoft vừa tung ra bản vá lỗi đầu tiên của năm 2025, xử lý 130 lỗ hổng bảo mật nghiêm trọng, bao gồm một lỗ hổng zero-day đã bị khai thác.

09:01, 11/07/2025

Lần đầu tiên trong năm 2025, Microsoft công bố các bản cập nhật vá lỗi, giải quyết tới 130 lỗi bảo mật nghiêm trọng.

Satnam Narang, Kỹ sư nghiên cứu cấp cao tại Tenable, cho biết: "Mất tới 11 tháng liên tiếp để vá một lỗ hổng zero-day bị khai thác ngoài thực tế".

 
Có tới 53 lỗ hổng được phân loại là lỗi leo thang đặc quyền, 42 lỗ hổng thực thi mã từ xa, 17 lỗ hổng rò rỉ thông tin, 8 lỗ hổng bỏ qua các tính năng bảo mật.
 
Lỗ hổng Microsoft SQL Server (CVE-2025-49719, với CVSS là 7.5), có thể cho phép kẻ tấn công trái phép rò rỉ bộ nhớ chưa được khởi động.

Adam Barnett, Kỹ sư phần mềm hàng đầu tại Rapid7, cho biết, "Kẻ tấn công có thể không học được điều gì có giá trị, nhưng với sự may mắn, tính kiên trì hoặc một số thủ thuật tinh vi trong khai thác, phần thưởng có thể là thông tin khóa mật mã của người dùng hoặc các thông tin giá trị khác từ SQL Server".

Lỗ hổng nghiêm trọng nhất được Microsoft vá trong bản cập nhật tháng này liên quan đến trường hợp thực thi mã từ xa ảnh hưởng đến SPNEGO Extended negotiation (NEGOEX). Được theo dõi là CVE-2025-47981, lỗ hổng này có điểm CVSS là 9,8 trên 10,0 là cực kỳ cao.

"Kẻ tấn công có thể khai thác lỗ hổng này bằng cách gửi tin nhắn độc hại đến máy chủ, có khả năng dẫn đến thực thi mã từ xa", Microsoft cho biết trong một thông báo an ninh.

Các lỗ hổng quan trọng khác bao gồm 5 lỗ hổng bảo mật trong Bitlocker (CVE-2025-48001CVE-2025-48003CVE-2025-48800CVE-2025-48804 và CVE-2025-48818, điểm CVSS: 6,8) có thể cho phép kẻ tấn công truy cập vật lý vào thiết bị để lấy dữ liệu được mã hóa.

Microsoft cho biết về CVE-2025-48804: "Kẻ tấn công có thể khai thác lỗ hổng này bằng cách tải tệp WinRE.wim khi ổ đĩa hệ điều hành được mở khóa, cấp quyền truy cập vào dữ liệu được mã hóa BitLocker".

Nếu bị khai thác, những lỗ hổng này có thể làm lộ các tệp tin nhạy cảm, thông tin đăng nhập hoặc cho phép can thiệp vào tính toàn vẹn của hệ thống", Jacob Ashdown, Kỹ sư An ninh Mạng tại Immersive, cho biết. "Điều này đặt ra một rủi ro đặc biệt, đặc biệt đối với các tổ chức nơi thiết bị có thể bị mất hoặc bị đánh cắp, vì kẻ tấn công có thể xâm nhập trực tiếp và vượt qua mã hóa và trích xuất dữ liệu nhạy cảm."

 

Người dùng nên cài đặt các bản cập nhật bảo mật để hạn chế bị tấn công. Ảnh chụp màn hình.

Để hạn chế bị tấn công, bạn hãy truy cập vào Settings - Windows Update - Check for updates để tải về các bản cập nhật. Điều này sẽ giúp người dùng có thể trải nghiệm các tính năng mới, cũng như giúp hệ thống được an toàn hơn trước các mối đe dọa.

Bình luận

Tin bài khác

Cẩn trọng khi sạc điện thoại nơi công cộng: Có thể mất hết dữ liệu trong tích tắc
10:29, 26/11/2025

Cẩn trọng khi sạc điện thoại nơi công cộng: Có thể mất hết dữ liệu trong tích tắc

Những trạm sạc USB miễn phí ở sân bay, bến xe, trung tâm thương mại tưởng tiện lợi lại tiềm ẩn nguy cơ bảo mật nghiêm trọng. Chỉ một lần "cắm sạc“ có thể khiến bạn mất hết dữ liệu cá nhân.

Xem thêm
Tấn công mạng vào CodeRED, hệ thống cảnh báo khẩn cấp nước Mỹ tê liệt, lộ dữ liệu người dùng
08:18, 26/11/2025

Tấn công mạng vào CodeRED, hệ thống cảnh báo khẩn cấp nước Mỹ tê liệt, lộ dữ liệu người dùng

Một vụ tấn công mạng nghiêm trọng vừa khiến hệ thống CodeRED, nền tảng cảnh báo khẩn cấp được sử dụng rộng rãi tại Mỹ, tê liệt trên nhiều thành phố và làm lộ thông tin cá nhân của hàng nghìn người dùng đã đăng ký nhận thông báo.

Xem thêm
Người dùng cần hình thành thói quen kiểm tra, xác minh thông tin trước khi chia sẻ hay lan truyền
07:55, 26/11/2025

Người dùng cần hình thành thói quen kiểm tra, xác minh thông tin trước khi chia sẻ hay lan truyền

Đó là lời khuyên của chuyên gia Vũ Ngọc Sơn, Trưởng ban Nghiên cứu, tư vấn, phát triển công nghệ và Hợp tác quốc tế của Hiệp hội An ninh mạng quốc gia (NCA), khi nói về vấn nạn tin giả, tin xấu độc lan truyền trên không gian mạng. Ngoài ra, ông Sơn cũng đề cập đến vấn đề an ninh dữ liệu trong dự luật An ninh mạng 2025.

Xem thêm
Harvard xác nhận bị tấn công lừa đảo, nguy cơ rò rỉ dữ liệu cựu sinh viên và nhà tài trợ
07:22, 26/11/2025

Harvard xác nhận bị tấn công lừa đảo, nguy cơ rò rỉ dữ liệu cựu sinh viên và nhà tài trợ

Đại học Harvard xác nhận hệ thống của bộ phận Quan hệ Cựu sinh viên và Phát triển (Alumni Affairs and Development - AAD) đã bị xâm nhập sau một cuộc tấn công lừa đảo qua điện thoại (voice phishing). Vụ việc có thể khiến dữ liệu cá nhân của cựu sinh viên, nhà tài trợ, sinh viên, nhân viên và giảng viên bị lộ.

Xem thêm
SitusAMC bị hack, dữ liệu khách hàng của loạt ngân hàng lớn Mỹ có nguy cơ bị lộ
18:47, 25/11/2025

SitusAMC bị hack, dữ liệu khách hàng của loạt ngân hàng lớn Mỹ có nguy cơ bị lộ

Dữ liệu khách hàng của JPMorgan Chase, Citi, Morgan Stanley cùng một số ngân hàng lớn khác có thể đã bị truy cập trái phép trong một vụ tin tặc tấn công vào hệ thống của một nhà cung cấp công nghệ.

Xem thêm
Mỹ kêu gọi điều tra Meta sau cáo buộc thu 16 tỷ USD từ quảng cáo lừa đảo
18:46, 25/11/2025

Mỹ kêu gọi điều tra Meta sau cáo buộc thu 16 tỷ USD từ quảng cáo lừa đảo

Một nhóm thượng nghị sĩ Mỹ đã chính thức kêu gọi Ủy ban Thương mại Liên bang (FTC) và Ủy ban Chứng khoán và Giao dịch (SEC) mở cuộc điều tra đối với Meta Platforms, sau khi xuất hiện cáo buộc cho rằng tập đoàn này thu khoảng 16 tỷ USD trong năm 2024 từ các quảng cáo mang tính chất lừa đảo hoặc vi phạm pháp luật.

Xem thêm
Rò rỉ dữ liệu 237.000 khách hàng, Comcast chịu phạt 1,5 triệu USD
13:33, 25/11/2025

Rò rỉ dữ liệu 237.000 khách hàng, Comcast chịu phạt 1,5 triệu USD

Ngày 24/11, Ủy ban Truyền thông Liên bang Mỹ (FCC) thông báo Comcast sẽ phải nộp khoản tiền phạt 1,5 triệu USD sau khi một vụ rò rỉ dữ liệu từ nhà cung cấp bên thứ ba làm lộ thông tin cá nhân của 237.000 khách hàng đang và đã từng sử dụng dịch vụ của công ty.

Xem thêm