Lỗ hổng SharePoint Mới: Quản Trị Viên Cần Biết Gì Về CVE-2026-45659?

Sự kết hợp giữa yêu cầu quyền thấp, không cần tương tác người dùng và khả năng khai thác qua mạng biến lỗ hổng này thành mục tiêu hàng đầu của tin tặc. Chỉ cần chiếm được một tài khoản người dùng tiêu chuẩn, kẻ tấn công đã có "chìa khóa" để mở toang cánh cửa vào toàn bộ hệ thống máy chủ.

Các Phiên Bản SharePoint Bị Ảnh Hưởng

Đây là vấn đề của các hệ thống triển khai nội bộ (on-premises). Lỗ hổng ảnh hưởng đến ba phiên bản SharePoint Server sau đây. SharePoint Online (dịch vụ đám mây của Microsoft) không bị ảnh hưởng . Các quản trị viên cần khẩn trương kiểm tra số phiên bản (build) của hệ thống mình.

• Microsoft SharePoint Server Subscription Edition (phiên bản trước 16.0.5552.1002)
• Microsoft SharePoint Server 2019 (phiên bản trước 16.0.10417.20128)
• Microsoft SharePoint Enterprise Server 2016 (phiên bản trước 16.0.5552.1002)

Đối với mỗi phiên bản bị ảnh hưởng, Microsoft đã cung cấp bản cập nhật cụ thể kèm theo số hiệu build để quản trị viên có thể đối chiếu và xác nhận tình trạng vá lỗi. Bản vá này được phát hành vào ngày 12 tháng 5 năm 2026 như một phần của bản cập nhật bảo mật thông thường, nhưng sau đó được nhấn mạnh hơn về mức độ nghiêm trọng của nó .

Hồi Chuông Cảnh Báo: Chuỗi Lỗ Hổng Deserialization Trên SharePoint

CVE-2026-45659 không phải là một sự cố cá biệt. Đây là "mắt xích" mới nhất trong chuỗi các lỗ hổng Deserialization có tác động cực lớn đã và đang tàn phá các hệ thống SharePoint on-premises.

Một ví dụ điển hình là lỗ hổng CVE-2026-20963. Đây là một lỗ hổng tương tự từng có điểm CVSS lên tới 9.8 và nguy hiểm đến mức Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã phải đưa nó vào Danh mục các Lỗ hổng Đã biết Bị Khai thác (KEV) vào ngày 18 tháng 3 năm 2026, sau khi xác nhận nó đang bị tin tặc khai thác trong thực tế . Tồi tệ hơn, CERT-EU (Đội ứng cứu khẩn cấp máy tính của Liên minh Châu Âu) đã báo cáo rằng Microsoft phải cập nhật lại khuyến cáo của mình cho CVE-2026-20963 để làm rõ rằng lỗ hổng này có thể bị khai thác bởi kẻ tấn công không cần xác thực—nghĩa là thậm chí không cần bất kỳ tài khoản đăng nhập nào .

Những lỗ hổng liên quan khác, chẳng hạn như CVE-2026-33110, cũng liên quan đến lỗi Deserialization của dữ liệu không tin cậy và ảnh hưởng đến cùng các dòng sản phẩm . Mô hình đã quá rõ ràng: các nhà nghiên cứu bảo mật và tin tặc đang tập trung cao độ vào cơ chế Deserialization của SharePoint, và những lỗ hổng nghiêm trọng đang được phát hiện với tốc độ đáng báo động. Xu hướng này khiến việc vá lỗi kịp thời và triệt để trở nên quan trọng hơn bao giờ hết đối với các quản trị viên SharePoint.

Chiến Lược Phòng Thủ và Giảm Thiểu Rủi Ro

Vá lỗi là giải pháp triệt để duy nhất, nhưng một phương pháp tiếp cận phòng thủ theo chiều sâu sẽ cung cấp thêm các lớp bảo vệ quý giá. Đối với các tổ chức đang vận hành SharePoint tại chỗ, dưới đây là các bước hành động được khuyến nghị:

1. Áp Dụng Bản Vá Ngay Lập Tức: Đây là hành động quan trọng duy nhất và cần được ưu tiên cao nhất. Hãy xác định vị trí và triển khai bản cập nhật bảo mật cụ thể cho phiên bản SharePoint của bạn. Ưu tiên tuyệt đối cho bất kỳ máy chủ nào có thể truy cập từ Internet .
2. Rà Soát và Hạn Chế Quyền Người Dùng: Vì CVE-2026-45659 chỉ yêu cầu quyền truy cập cấp Site Member, việc rà soát kỹ lưỡng các quyền của người dùng là rất quan trọng. Hãy áp dụng nguyên tắc "đặc quyền tối thiểu" (chỉ cấp đúng quyền cần thiết cho công việc) và thu hồi mọi quyền truy cập không cần thiết .
3. Tăng Cường Giám Sát Máy Chủ: Triển khai giải pháp Phát hiện và Phản hồi Điểm cuối (EDR) để tìm kiếm các hoạt động hậu khai thác. Đội ngũ bảo mật nên cảnh giác với: các tiến trình (process) đáng ngờ được tạo ra từ Application Pool của SharePoint (w3wp.exe), các kết nối mạng ra ngoài bất thường hoặc sự xuất hiện của Web Shell, và các hành vi bất thường từ các tài khoản dịch vụ.
4. Xác Minh Đã Vá Các Lỗ Hổng Liên Quan: Một bản vá cho CVE-2026-45659 là cần thiết, nhưng máy chủ của bạn vẫn có thể bị tấn công nếu chưa vá lỗ hổng CVE-2026-20963 đang bị khai thác tích cực. Hãy tận dụng đợt vá lỗi này để xác nhận rằng tất cả các bản cập nhật bảo mật SharePoint liên quan đều đã được áp dụng đầy đủ .
5. Thu Hẹp Bề Mặt Tấn Công: Nếu máy chủ SharePoint không bắt buộc phải truy cập từ Internet công cộng, hãy triển khai các hạn chế ở cấp độ mạng để chặn mọi truy cập từ bên ngoài. Đối với các dịch vụ bắt buộc phải công khai, hãy đảm bảo chúng được đặt sau một Tường lửa Ứng dụng Web (WAF) với các bộ quy tắc được cấu hình để chặn các cuộc tấn công Deserialization phổ biến. Bạn nên hết sức thận trọng như "canh lửa trong kho thuốc súng", bởi một sơ hở nhỏ có thể dẫn đến hậu quả khôn lường.