Phân tích lỗ hổng CVE-2026-70111 gây từ chối dịch vụ trên Windows Server

Microsoft vừa chính thức phát hành bản vá nhằm khắc phục một lỗ hổng bảo mật có mức độ nghiêm trọng cao trên hệ điều hành Windows Server, mang mã định danh CVE-2026-70111. Điểm yếu này cho phép những kẻ tấn công có quyền truy cập mạng cục bộ có khả năng làm gián đoạn và treo máy chủ mục tiêu thông qua một gói tin phản hồi Distributed File System (DFS) được thiết kế riêng biệt. Các phiên bản hệ điều hành nằm trong diện bị ảnh hưởng bao gồm Windows Server 2019, Windows Server 2022 và Windows Server 2025.

Phát hiện và mức độ rủi ro

Lỗ hổng này được phát hiện và báo cáo bởi nhóm các nhà nghiên cứu đến từ Corelight trong quá trình họ tiến hành kiểm thử các giao diện Microsoft Remote Procedure Call (MS-RPC) cùng với hệ thống DFS. Tại thời điểm thông tin được công bố vào trung tuần tháng 10 năm 2026, các cơ quan chức năng và nhà nghiên cứu ghi nhận chưa có bất kỳ dấu hiệu hay bằng chứng nào cho thấy lỗ hổng này đang bị khai thác trong các cuộc tấn công thực tế. Dù vậy, nguy cơ gây ra hiện tượng từ chối dịch vụ đối với các hệ thống hạ tầng mạng quan trọng là rất hiện hữu.

Chi tiết kỹ thuật và nguyên nhân gốc rễ

Về mặt vận hành, hệ điều hành Windows ứng dụng giao thức DFS nhằm hỗ trợ điều hướng người dùng cũng như các hệ thống khác truy cập đến những tệp tin được lưu trữ trên hệ thống mạng. Khi một máy chủ Windows tiến hành phân giải đường dẫn DFS, một thành phần cốt lõi trong hệ thống mang tên mup.sys sẽ đảm nhận nhiệm vụ thực hiện yêu cầu lấy thông tin tham chiếu thông qua giao thức SMB. Quá trình phân tích cho thấy một phản hồi bất thường được tinh chỉnh có thể lọt vào luồng mã nguồn chưa được bảo vệ kỹ càng trong lúc driver đang xử lý thông tin DFS referral.

Nguyên nhân gốc rễ dẫn đến sự cố này được xác định là do lỗi thiếu kiểm tra độ dài dữ liệu. Cụ thể, bên trong một phản hồi dạng NameList referral, một giá trị offset có thể dẫn đến một chuỗi ký tự rỗng. Do mã nguồn của máy chủ thiếu bước xác thực tính hợp lệ của giá trị này trước khi tiến hành xử lý các bước tiếp theo, kernel hệ thống buộc phải truy cập vào một tham chiếu bộ nhớ không hợp lệ. Hệ quả là máy chủ sẽ ngay lập tức gặp sự cố màn hình xanh và bắt buộc phải khởi động lại ngoài ý muốn.

Tác động và giải pháp khắc phục

Mặc dù lỗ hổng này không trao cho kẻ tấn công quyền kiểm soát toàn bộ máy chủ, mức độ thiệt hại về mặt gián đoạn dịch vụ là rất đáng kể. Nếu đối tượng xấu liên tục kích hoạt lỗ hổng này nhiều lần, chúng hoàn toàn có thể duy trì trạng thái ngoại tuyến của hệ thống trong một khoảng thời gian dài, gây ảnh hưởng nghiêm trọng đến các thành phần quan trọng như Domain Controller. Để phát hiện kịp thời các hành vi khai thác, các chuyên gia khuyến cáo nên theo dõi chặt chẽ lưu lượng SMB nội bộ giữa các máy chủ và sử dụng các công cụ giám sát mạng phù hợp nhằm phát hiện sớm các bất thường.

Giải pháp tối ưu và triệt để nhất để giải quyết vấn đề này là áp dụng ngay bản cập nhật bảo mật tháng 10 năm 2026 do Microsoft cung cấp cho các dòng máy chủ đang chạy Windows Server 2019, 2022 và 2025. Các tổ chức cần ưu tiên triển khai vá lỗi cho các hệ thống đang vận hành dịch vụ DFS, đồng thời siết chặt các chính sách giám sát mạng nội bộ nhằm phòng ngừa từ xa những rủi ro tiềm ẩn.