Microsoft đã phát hành bản vá cho một lỗ hổng zero-day trên Outlook sau khi xác nhận lỗi này đã bị khai thác trong thực tế. Công ty khuyến nghị người dùng sớm cập nhật, do lỗ hổng có thể làm lộ thông tin xác thực Windows khi nạn nhân mở một tệp độc hại.

Ngày 11/11 (giờ địa phương), IT Home của Đài Loan đưa tin Microsoft đã vá lỗ hổng Outlook mang mã CVE-2026-124194 trong bản cập nhật bảo mật định kỳ tháng 11 phát hành ngày 10/11. Microsoft cho biết đã xác nhận lỗ hổng này bị lợi dụng trong các cuộc tấn công thực tế.

Theo mô tả của hãng, vấn đề nằm ở việc Outlook không cảnh báo đầy đủ về các kết nối bên ngoài nguy hiểm. Kẻ tấn công có thể gửi một tệp tin nhắn được tạo đặc biệt và dụ người nhận mở bằng Outlook.

Khi tệp được mở, Outlook có thể tự động kết nối tới một vị trí mạng do kẻ tấn công kiểm soát, đồng thời bỏ qua cảnh báo truy cập nội dung bên ngoài vốn thường được hiển thị.

Quá trình này làm tăng nguy cơ rò rỉ NTLMv2 hash dùng cho cơ chế xác thực của Windows. Nếu thu được dữ liệu này, tin tặc có thể mạo danh người dùng hoặc tiếp tục thực hiện các cuộc tấn công khác để truy cập trái phép vào hệ thống.

Tuy nhiên, chỉ nhận email hoặc xem thư trong khung preview là chưa đủ để cuộc tấn công thành công. Việc khai thác đòi hỏi người dùng phải mở tệp đã bị chỉnh sửa và từ đó phát sinh kết nối ra mạng bên ngoài.

Microsoft phân loại đây là lỗ hổng spoofing, chấm 6,5 điểm theo thang CVSS và đánh giá mức độ trung bình. Dù vậy, do đây là lỗ hổng zero-day đã bị khai thác trước khi bản vá được phát hành, người dùng vẫn cần khắc phục sớm.

Các sản phẩm bị ảnh hưởng gồm Microsoft 365 Apps for enterprise và Office LTSC 2021 và 2024. Người dùng cần kiểm tra riêng việc cài đặt bản cập nhật bảo mật của Office, thay vì chỉ dựa vào Windows Update.

Trong đợt cập nhật bảo mật tháng 11, Microsoft đã khắc phục hơn 1.000 lỗ hổng. Theo thống kê của công ty an ninh mạng Tenable, tổng số lỗ hổng được vá là 1.093, trong đó 63 lỗ hổng được xếp vào mức nghiêm trọng.

Cơ quan An ninh mạng và An ninh hạ tầng Mỹ (CISA) cũng đã bổ sung lỗ hổng Outlook này vào danh sách các lỗ hổng bị khai thác trong thực tế. Các cơ quan liên bang Mỹ được yêu cầu hoàn tất biện pháp khắc phục trước ngày 24/11.

Hiện chưa có thông tin được công bố về tác nhân đứng sau các cuộc tấn công, quy mô thiệt hại hay những trường hợp khai thác cụ thể.