07/10/2026 · VietTechies · Biên tập
Microsoft vừa phát hành bản cập nhật bảo mật ngoài kế hoạch cho Exchange Server nhằm khắc phục CVE-2026-96940, một lỗ hổng bảo mật có mức độ nghiêm trọng cao. Lỗi này cho phép kẻ tấn công đã xác thực quyền truy cập có thể đọc email và tệp đính kèm thuộc về các tài khoản khác trong cùng một tổ chức.
Rủi ro gia tăng quyền hạn trong nội bộ
Đội ngũ phát triển Exchange Server đã phát hiện lỗ hổng bảo mật trong quá trình kiểm thử nội bộ và cho biết hiện chưa có bằng chứng nào cho thấy lỗi này bị khai thác ngoài thực tế. Mặc dù vậy, Microsoft khuyến cáo các quản trị viên hệ thống nên áp dụng bản vá càng sớm càng tốt. Hãng lưu ý rằng lỗ hổng có thể bị khai thác dễ dàng và ổn định, trong khi những lỗi truy cập hộp thư tương tự từng nhiều lần trở thành mục tiêu của các nhóm tấn công mạng.
Sự cố bảo mật này chỉ giới hạn hoàn toàn trong môi trường nội bộ. Microsoft khẳng định rõ ràng rằng lỗ hổng không cho phép truy cập dữ liệu trái phép vượt qua ranh giới giữa các tổ chức (tenant) khác nhau.
Trình tự triển khai bản vá ngoài dự kiến
Bản vá ngoài kế hoạch này diễn ra sau một đợt triển khai dần phía máy chủ trên Exchange Online vào cuối tuần trước. Sự việc đã khiến không ít quản trị viên bất ngờ do bản cập nhật ban đầu không kèm theo tài liệu giải thích trên Cơ sở dữ liệu tri thức (Knowledge Base).
Microsoft sau đó thừa nhận tình trạng hỗn loạn này và giải thích rằng trình tự phát hành diễn ra sớm hơn so với kế hoạch ban đầu. Tuy nhiên, công ty không công bố lý do dẫn đến việc phát hành sớm.
Các nền tảng chịu ảnh hưởng và hướng dẫn triển khai
Bản cập nhật ngoài kế hoạch, được ký hiệu là bản cập nhật tháng 9 năm 2026 v2, dành cho nhiều phiên bản phần mềm đang hỗ trợ. Các bản vá hiện có sẵn cho Exchange Server Subscription RTM, Exchange Server 2019 Bản cập nhật tích lũy 14 và 15, cũng như Exchange Server 2016 Bản cập nhật tích lũy 23.
Microsoft khuyên người dùng nên nhanh chóng cài đặt bản cập nhật bảo mật trên toàn bộ hệ thống máy chủ Exchange cài đặt tại chỗ (on-premises), đồng thời cập nhật cả các máy trạm quản trị đang chạy Công cụ quản lý Exchange (Exchange Management Tools) để tránh rủi ro bất đồng phiên bản.
Ảnh minh họa do AI tạo, không phải ảnh tư liệu.
Nguồn: Out-of-band Exchange Server update fixes high-severity mailbox access bug (CVE-2026-96940)