06/10/2026 · VietTechies · Biên tập
Microsoft vừa phát hành các bản cập nhật bảo mật ngoài lịch trình nhằm khắc phục một lỗ hổng mức độ nghiêm trọng cao trong phần mềm Microsoft Exchange Server. Lỗi bảo mật này mang mã hiệu CVE-2026-96940 với điểm CVSS là 8.8, cho phép người dùng đã qua xác thực thực hiện leo thang đặc quyền qua kết nối mạng để xem trái phép nội dung hộp thư của các tài khoản khác trong cùng tổ chức.
Nguy cơ rò rỉ dữ liệu hộp thư
Nguyên nhân của lỗ hổng xuất phát từ các cơ chế kiểm soát phân quyền yếu bên trong phần mềm Microsoft Exchange Server. Trong thông báo công bố ngày 2 tháng 10 năm 2026, Microsoft cho biết kẻ tấn công nếu sở hữu thông tin đăng nhập tên miền hợp lệ có thể lợi dụng điểm yếu này để đọc các thư điện tử riêng tư và xem tệp đính kèm của nhân viên khác. Mặc dù vậy, phạm vi ảnh hưởng chỉ giới hạn trong ranh giới tổ chức nội bộ chứ không cho phép truy cập chéo giữa các tổ chức (cross-tenant) hay thâm nhập vào môi trường đám mây.
Các phiên bản bị ảnh hưởng và trạng thái dịch vụ đám mây
Đối với các hệ thống đám mây vận hành trên Microsoft Exchange Online, Microsoft đã chủ động triển khai bản sửa lỗi từ phía máy chủ, do đó người dùng chỉ sử dụng dịch vụ đám mây không cần thao tác cập nhật thủ công. Trái lại, các quản trị viên đang vận hành hệ thống máy chủ tự triển khai (on-premises) cần phải nhanh chóng cài đặt thủ công các bản vá bảo mật vừa phát hành. Lỗ hổng này tác động đến các phiên bản phần mềm tự cài đặt sau:
– Microsoft Exchange Server Subscription Edition RTM – Microsoft Exchange Server 2016 Cumulative Update 23 – Microsoft Exchange Server 2019 Cumulative Update 15 – Microsoft Exchange Server 2019 Cumulative Update 14
Đánh giá mức độ rủi ro và bối cảnh đe dọa
Lỗi an ninh mạng này do nhà nghiên cứu Jan Mitchell thuộc Microsoft phát hiện và báo cáo. Mặc dù Microsoft ghi nhận chưa có bằng chứng cho thấy lỗ hổng bị lợi dụng trong các cuộc tấn công thực tế, hãng vẫn gán mức độ đánh giá khả năng bị khai thác là "Khả năng bị khai thác cao" (Exploitation More Likely), đòi hỏi các đơn vị phải ưu tiên cập nhật ngay. Động thái cảnh báo này diễn ra không lâu sau khi công ty an ninh mạng Symantec (thuộc sở hữu của Broadcom) đưa ra cảnh báo về chuỗi tấn công riêng biệt nhắm vào lỗ hổng Microsoft SharePoint do nhóm đe dọa Warlock có liên hệ với Trung Quốc thực hiện.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Microsoft Exchange Flaw Lets Authenticated Attackers Read Other Users' Mailboxes