Phân tích chi tiết lỗ hổng zero-day CVE-2026-96951 trên Windows Shell

Trong bản cập nhật Patch Tuesday tháng 10 năm 2026, Microsoft đã chính thức đưa ra các bản vá nhằm khắc phục một lỗ hổng bảo mật zero-day nghiêm trọng xuất hiện trong thành phần Windows Shell, mang mã định danh CVE-2026-96951. Điểm yếu này tạo cơ hội cho kẻ gian qua mặt các cơ chế bảo mật cốt lõi Mark of the Web (MotW), vốn đóng vai trò cảnh báo người dùng về những tệp tin có nguồn gốc không an toàn từ internet.

Bản chất và cơ chế hoạt động của lỗ hổng

Lỗ hổng này được xác định thuộc nhóm lỗi command injection, phát sinh do Windows Shell thiếu sự kiểm soát chặt chẽ khi xử lý các ký tự hoặc phần tử đặc biệt bên trong một lệnh. Theo nhận định từ các nhà nghiên cứu bảo mật, tác nhân đe dọa có thể tận dụng điểm yếu này để thực hiện hành vi vượt qua tính năng bảo mật thông qua môi trường mạng.

Dù không trực tiếp là một lỗi thực thi mã từ xa độc lập, việc vô hiệu hóa thành công cơ chế MotW lại trở thành bước đệm vô cùng nguy hiểm. Khi lớp bảo vệ này bị vô hiệu hóa, các tệp tin tải về từ internet sẽ không còn hiển thị cảnh báo từ hệ điều hành, làm gia tăng đáng kể nguy cơ người dùng sập bẫy và mở phải các tệp tin đính kèm mã độc.

Phương thức khai thác và nhóm phát hiện

Thông thường, kẻ tấn công sẽ phân phối các tệp tin được ngụy trang và tinh chỉnh kỹ lưỡng qua các kênh như email hoặc ứng dụng nhắn tin trực tuyến. Quá trình khai thác đòi hỏi phải có sự can thiệp và tương tác từ phía người dùng, đồng nghĩa với việc đây không phải dạng tấn công zero-click. Dẫu vậy, khi kết hợp cùng các chiêu trò kỹ thuật xã hội tinh vi, kẻ xấu vẫn có thể dễ dàng lừa nạn nhân thực thi tệp tin độc hại.

Giới chuyên gia an ninh mạng cũng chỉ ra rằng, dẫu trước đây từng ghi nhận một số trường hợp lách qua MotW qua các phương thức như Windows LNK Stomping hay lỗ hổng phần mềm giải nén, CVE-2026-96951 vẫn là một thực thể hoàn toàn độc lập với cơ chế tấn công riêng biệt. Nhóm các nhà nghiên cứu gồm Riku Bamba, Yuya Chudo, Benoit Sevens và yhw chính là những người đã phát hiện và thông báo lỗ hổng này cho Microsoft.

Biện pháp phòng ngừa cho quản trị viên hệ thống

Nhằm đảm bảo an toàn cho hệ thống trước các nguy cơ tiềm ẩn từ lỗ hổng này, các đội ngũ vận hành an ninh cùng quản trị viên công nghệ thông tin cần nhanh chóng triển khai các giải pháp phòng vệ cần thiết.

Trong trường hợp phát hiện các dấu hiệu xâm nhập hoặc bất thường, việc tái dựng lại dòng thời gian tấn công đóng vai trò then chốt. Các chuyên gia khuyến nghị tận dụng tối đa hệ thống phân tích nhật ký log cùng các giải pháp EDR nhằm truy vết chính xác nguồn gốc tệp tin độc hại, cũng như giám sát chặt chẽ các tiến trình con được sinh ra sau khi tệp tin được mở.