Chi tiết hai lỗ hổng zero‑day Microsoft Defender đang bị khai thác (CVE‑2026‑41091, CVE‑2026‑45498)

Hai lỗ hổng zero‑day Microsoft Defender đang bị khai thác

Tháng 5/2026, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm hai lỗ hổng zero‑day trong Microsoft Defender vào danh mục Known Exploited Vulnerabilities (KEV) sau khi xác nhận chúng đang bị tin tặc khai thác trong các cuộc tấn công thực tế. Hai lỗi đó là CVE‑2026‑41091 và CVE‑2026‑45498.

Danh mục KEV của CISA được dùng để cảnh báo các tổ chức – đặc biệt là cơ quan liên bang Mỹ – về những lỗ hổng đã bị khai thác ngoài thực tế và cần được khắc phục khẩn cấp.

---

CVE‑2026‑41091: Lỗi leo thang đặc quyền trong Microsoft Defender

CVE‑2026‑41091 là lỗ hổng elevation‑of‑privilege (leo thang đặc quyền) xuất phát từ cách Microsoft Defender xử lý liên kết tệp.

• Nguyên nhân: lỗi improper link resolution before file access (xử lý liên kết không đúng trước khi truy cập tệp), còn gọi là lỗi link following.
• Loại tấn công: leo thang đặc quyền cục bộ (Local Privilege Escalation – LPE).
• Điểm CVSS: 7.8 – mức High.

Khi khai thác thành công, kẻ tấn công có quyền truy cập hợp lệ trên máy có thể lợi dụng cơ chế xử lý liên kết của Defender để:

• truy cập hoặc thao tác với tệp không mong muốn
• leo thang quyền lên mức SYSTEM, quyền cao nhất trong Windows.

Một số báo cáo cho thấy lỗ hổng ảnh hưởng đến Microsoft Malware Protection Engine, thành phần quét và xử lý malware của Defender. Các phiên bản engine từ 1.1.26030.3008 đến trước 1.1.26040.8 được ghi nhận là dễ bị ảnh hưởng.

---

CVE‑2026‑45498: Lỗi từ chối dịch vụ (DoS)

Lỗ hổng thứ hai, CVE‑2026‑45498, cho phép kẻ tấn công gây denial‑of‑service (DoS) đối với Microsoft Defender.

Các thông tin kỹ thuật công khai hiện còn hạn chế, nhưng mô tả cho biết:

• đây là lỗ hổng không được mô tả chi tiết trong Defender
• khai thác có thể làm Defender ngừng hoạt động hoặc bị gián đoạn, khiến hệ thống mất lớp bảo vệ chống malware.

Về mức độ nghiêm trọng:

• Một số báo cáo cho biết điểm CVSS khoảng 4.0 (Medium).
• Tuy nhiên, NVD vẫn chưa công bố đánh giá CVSS chính thức cho lỗ hổng này tại thời điểm cập nhật.

---

CISA thêm hai CVE vào danh mục KEV

Ngày 20/05/2026, CISA đã thêm hai lỗ hổng Defender vào Known Exploited Vulnerabilities Catalog vì có bằng chứng chúng đang bị khai thác trong các cuộc tấn công thực tế.

Đối với CVE‑2026‑45498, danh mục KEV ghi rõ:

• ngày thêm vào: 20/05/2026
• hạn khắc phục cho cơ quan liên bang: 03/06/2026

Theo quy định Binding Operational Directive (BOD) 22‑01, các cơ quan thuộc nhánh hành pháp dân sự của Mỹ phải:

• áp dụng bản vá hoặc biện pháp giảm thiểu theo hướng dẫn của nhà cung cấp
• hoặc ngừng sử dụng sản phẩm nếu không có biện pháp khắc phục phù hợp.

---

Những điểm chưa được công bố đầy đủ

Dù đã xác nhận khai thác ngoài thực tế, nhiều chi tiết kỹ thuật của hai lỗ hổng vẫn chưa được công bố công khai, bao gồm:

• cơ chế khai thác chi tiết của CVE‑2026‑45498
• phạm vi phiên bản Defender bị ảnh hưởng đầy đủ
• thông tin chi tiết về chiến dịch tấn công đang sử dụng các lỗ hổng này

Các chuyên gia bảo mật khuyến nghị tổ chức và quản trị viên hệ thống cập nhật Microsoft Defender và Malware Protection Engine ngay khi có bản vá, đồng thời theo dõi các cập nhật từ Microsoft và CISA để giảm thiểu rủi ro khai thác.