Cơ Chế Hoạt Động: Lỗ Hổng Race Condition TOCTOU Ngay Trong Chính Engine Diệt Virus

Lỗ hổng này là một lỗi race condition Time-of-Check to Time-of-Use (TOCTOU) bắt nguồn từ một vấn đề giải quyết liên kết không đúng cách (CWE-59) . Microsoft Malware Protection Engine mặc định chạy với đặc quyền NT AUTHORITY\SYSTEM. Khai thác này đánh lừa engine bằng cách tạo ra một cuộc đua:

• Một người dùng có đặc quyền thấp tạo ra một liên kết tượng trưng (symbolic link) hoặc tệp được thiết kế đặc biệt mà engine kiểm tra (Time-of-Check) và sau đó hoán đổi nó trước khi engine sử dụng (Time-of-Use).
• Bằng cách thắng cuộc đua này — sử dụng một oplock (opportunistic lock) để kiểm soát thời gian một cách đáng tin cậy — kẻ tấn công chuyển hướng thao tác tệp của engine đến một vị trí tùy ý, chẳng hạn như một thư mục mà kẻ tấn công kiểm soát .
• Engine sau đó thực hiện một thao tác tệp có đặc quyền (ví dụ: ghi hoặc thực thi) tại đường dẫn do kẻ tấn công chọn, tạo ra một dòng lệnh (command shell) chạy với đặc quyền SYSTEM một cách hiệu quả .

Khai thác này là cục bộ — kẻ tấn công phải có quyền truy cập người dùng tiêu chuẩn vào máy — nhưng không yêu cầu thêm đặc quyền nào khác ngoài điều đó . Lỗ hổng cũng hoạt động bất kể tính năng bảo vệ thời gian thực của Defender được bật hay tắt .

Điểm CVSS và Mức Độ Nghiêm Trọng

Microsoft ấn định điểm cơ bản CVSS 3.1 là 7.8 (CAO), với Độ phức tạp Tấn công: Thấp (lập luận rằng oplock làm cho cuộc đua trở nên đáng tin cậy). NVD liệt kê điểm cơ bản là 7.0 (CAO) với Độ phức tạp Tấn công: Cao (thừa nhận độ khó của cuộc đua). Vector tạm thời (E:F/RL:U/RC:C) cho điểm tạm thời là 7.6 theo đánh giá của Microsoft .

Lỗ hổng được đánh giá là "Nguy cơ Khai thác Cao hơn" (Exploitation More Likely) trên Chỉ số Khai thác (Exploitability Index) của Microsoft .

Dòng Thời Gian Tiết Lộ Công Khai

Khoảng cách giữa việc công bố khai thác công khai và sự thừa nhận của Microsoft là rất quan trọng:

Khoảng cách giữa việc công bố khai thác công khai (10 tháng 6) và sự thừa nhận của Microsoft (16 tháng 6) là khoảng 6 ngày. Tính đến đầu tháng 7 năm 2026, bản khai thác đã được công khai trong khoảng một tháng mà không có bản sửa lỗi .

Ai Đã Phát Hiện Ra Nó: Chiến Dịch Nightmare Eclipse

Lỗ hổng này được phát hiện và công bố công khai bởi một nhà nghiên cứu bảo mật hoạt động dưới các bí danh Nightmare Eclipse (còn được gọi là Chaotic Eclipse) .

Đây là bản khai thác thứ bảy trong chiến dịch đang diễn ra của nhà nghiên cứu này nhắm vào Microsoft Defender. Các lỗ hổng Defender đã được tiết lộ trước đó bao gồm các lỗ hổng leo thang đặc quyền và vượt qua khác như BlueHammer, RedSun, UnDefend, YellowKey, và GreenPlasma . TechRadar mô tả RoguePlanet là một phần của "một chiến dịch nghiên cứu bền bỉ nhắm vào bề mặt tấn công của Defender" . Việc tái tạo thành công PoC (Proof-of-Concept) bởi các nhóm bên thứ ba như ThreatLocker xác nhận độ tin cậy của chuỗi khai thác .

Chỉ Trích Từ Cộng Đồng Về Sự Chậm Trễ Trong Việc Phát Hành Bản Vá

Khoảng cách kéo dài về bản vá đã thu hút sự chỉ trích gay gắt từ cộng đồng an ninh mạng:

• Red Hound mô tả tình huống một cách thẳng thắn: "Một bản khai thác hoạt động cho phần mềm diệt virus có sẵn trong mọi bản sao của Windows đã được công khai hơn hai tuần, và vẫn chưa có bản vá" .
• Cloud Security Alliance lưu ý rằng tính đến ngày 19 tháng 6 — chín ngày sau khi tiết lộ — không có bản vá hoặc thông báo về thời gian phát hành cập nhật đột xuất nào, gọi khoảng thời gian này là "đáng báo động" cho một lỗ hổng tồn tại trên mọi hệ thống Windows tiêu dùng và doanh nghiệp .
• cve.tools báo cáo rằng đến ngày 1 tháng 7 năm 2026 (21 ngày sau khi tiết lộ), không có bản vá nào tồn tại và việc phơi nhiễm kéo dài là "bất thường đối với một zero-day được khai thác công khai trong một thành phần bảo mật cốt lõi" .
• Nhiều nguồn tin nhấn mạnh sự mỉa mai khi chính engine diệt virus của Microsoft — tuyến phòng thủ cuối cùng — lại đang được sử dụng như một vector để xâm phạm ở cấp độ SYSTEM, và sự thiếu khẩn trương từ Microsoft đang đặt ra câu hỏi về quy trình ứng phó lỗ hổng của hãng .

Sự thất vọng cốt lõi: bởi vì Defender được bật theo mặc định trên tất cả các bản cài đặt Windows, lỗ hổng này có một bề mặt tấn công rất lớn, nhưng không có bản vá tạm thời (out-of-band) nào được đưa ra mặc dù mã khai thác chức năng đã có sẵn công khai .

Các Biện Pháp Giảm Thiểu Tạm Thời và Các Bước Tổ Chức Nên Thực Hiện

Các nguồn tin liên tục khuyến nghị những điều sau cho đến khi Microsoft phát hành bản sửa lỗi vĩnh viễn:

Áp dụng bản sửa lỗi khi có sẵn

• Cập nhật Microsoft Malware Protection Engine (MsMpEng) ngay khi Microsoft phát hành bản cập nhật bảo mật. Bản cập nhật này thường được cung cấp qua Windows Update hoặc Microsoft Update Catalog .
• Tính đến ngày 10 tháng 7 năm 2026, chưa có bản sửa lỗi nào — hãy theo dõi tư vấn CVE và Trung tâm Ứng phó Bảo mật Microsoft (MSRC) để biết bản phát hành đột xuất .

Các biện pháp giảm thiểu tạm thời (khi chưa có bản vá)

• Hạn chế tài khoản người dùng cục bộ. Vì khai thác yêu cầu đăng nhập tương tác, hãy giảm thiểu số lượng người dùng tiêu chuẩn trên các hệ thống nhạy cảm .
• Thực thi AppLocker hoặc WDAC (Windows Defender Application Control) để chặn các tệp thực thi và tập lệnh trái phép, bao gồm cả các tệp nhị phân PoC không đáng tin cậy .
• Bật các quy tắc ASR (Attack Surface Reduction) có thể chặn hành vi đánh cắp thông tin xác thực và các quy trình không đáng tin cậy — mặc dù các quy tắc này có thể không trực tiếp ngăn chặn cuộc đua TOCTOU .
• Giám sát các tạo tác khai thác đã biết. Khai thác dựa vào việc tạo oplock và liên kết tượng trưng cụ thể. Triển khai các quy tắc EDR cảnh báo về việc sử dụng oplock bất thường và tạo symlink bất ngờ bởi các quy trình không phải SYSTEM .
• Ưu tiên hạn chế quyền truy cập vật lý/logic vào các điểm cuối Windows cho những người dùng không đáng tin cậy hoặc chưa được xác minh. Đây là biện pháp kiểm soát tạm thời đáng tin cậy nhất vì lỗ hổng yêu cầu thực thi mã cục bộ .
• Sử dụng mô hình đặc quyền tối thiểu (least-privilege models) — không cấp quyền quản trị viên cục bộ cho người dùng tiêu chuẩn, mặc dù cần lưu ý rằng điều này không ngăn chặn được việc khai thác (nó leo thang từ người dùng tiêu chuẩn lên SYSTEM) .

Cơ Chế Hoạt Động: Lỗ Hổng Race Condition TOCTOU Ngay Trong Chính Engine Diệt Virus

Lỗ hổng này là một lỗi race condition Time-of-Check to Time-of-Use (TOCTOU) bắt nguồn từ một vấn đề giải quyết liên kết không đúng cách (CWE-59) . Microsoft Malware Protection Engine mặc định chạy với đặc quyền NT AUTHORITY\SYSTEM. Khai thác này đánh lừa engine bằng cách tạo ra một cuộc đua:

• Một người dùng có đặc quyền thấp tạo ra một liên kết tượng trưng (symbolic link) hoặc tệp được thiết kế đặc biệt mà engine kiểm tra (Time-of-Check) và sau đó hoán đổi nó trước khi engine sử dụng (Time-of-Use).
• Bằng cách thắng cuộc đua này — sử dụng một oplock (opportunistic lock) để kiểm soát thời gian một cách đáng tin cậy — kẻ tấn công chuyển hướng thao tác tệp của engine đến một vị trí tùy ý, chẳng hạn như một thư mục mà kẻ tấn công kiểm soát .
• Engine sau đó thực hiện một thao tác tệp có đặc quyền (ví dụ: ghi hoặc thực thi) tại đường dẫn do kẻ tấn công chọn, tạo ra một dòng lệnh (command shell) chạy với đặc quyền SYSTEM một cách hiệu quả .

Khai thác này là cục bộ — kẻ tấn công phải có quyền truy cập người dùng tiêu chuẩn vào máy — nhưng không yêu cầu thêm đặc quyền nào khác ngoài điều đó . Lỗ hổng cũng hoạt động bất kể tính năng bảo vệ thời gian thực của Defender được bật hay tắt .

Điểm CVSS và Mức Độ Nghiêm Trọng

Microsoft ấn định điểm cơ bản CVSS 3.1 là 7.8 (CAO), với Độ phức tạp Tấn công: Thấp (lập luận rằng oplock làm cho cuộc đua trở nên đáng tin cậy). NVD liệt kê điểm cơ bản là 7.0 (CAO) với Độ phức tạp Tấn công: Cao (thừa nhận độ khó của cuộc đua). Vector tạm thời (E:F/RL:U/RC:C) cho điểm tạm thời là 7.6 theo đánh giá của Microsoft .

Lỗ hổng được đánh giá là "Nguy cơ Khai thác Cao hơn" (Exploitation More Likely) trên Chỉ số Khai thác (Exploitability Index) của Microsoft .

Dòng Thời Gian Tiết Lộ Công Khai

Khoảng cách giữa việc công bố khai thác công khai và sự thừa nhận của Microsoft là rất quan trọng:

Khoảng cách giữa việc công bố khai thác công khai (10 tháng 6) và sự thừa nhận của Microsoft (16 tháng 6) là khoảng 6 ngày. Tính đến đầu tháng 7 năm 2026, bản khai thác đã được công khai trong khoảng một tháng mà không có bản sửa lỗi .

Ai Đã Phát Hiện Ra Nó: Chiến Dịch Nightmare Eclipse

Lỗ hổng này được phát hiện và công bố công khai bởi một nhà nghiên cứu bảo mật hoạt động dưới các bí danh Nightmare Eclipse (còn được gọi là Chaotic Eclipse) .

Đây là bản khai thác thứ bảy trong chiến dịch đang diễn ra của nhà nghiên cứu này nhắm vào Microsoft Defender. Các lỗ hổng Defender đã được tiết lộ trước đó bao gồm các lỗ hổng leo thang đặc quyền và vượt qua khác như BlueHammer, RedSun, UnDefend, YellowKey, và GreenPlasma . TechRadar mô tả RoguePlanet là một phần của "một chiến dịch nghiên cứu bền bỉ nhắm vào bề mặt tấn công của Defender" . Việc tái tạo thành công PoC (Proof-of-Concept) bởi các nhóm bên thứ ba như ThreatLocker xác nhận độ tin cậy của chuỗi khai thác .

Chỉ Trích Từ Cộng Đồng Về Sự Chậm Trễ Trong Việc Phát Hành Bản Vá

Khoảng cách kéo dài về bản vá đã thu hút sự chỉ trích gay gắt từ cộng đồng an ninh mạng:

• Red Hound mô tả tình huống một cách thẳng thắn: "Một bản khai thác hoạt động cho phần mềm diệt virus có sẵn trong mọi bản sao của Windows đã được công khai hơn hai tuần, và vẫn chưa có bản vá" .
• Cloud Security Alliance lưu ý rằng tính đến ngày 19 tháng 6 — chín ngày sau khi tiết lộ — không có bản vá hoặc thông báo về thời gian phát hành cập nhật đột xuất nào, gọi khoảng thời gian này là "đáng báo động" cho một lỗ hổng tồn tại trên mọi hệ thống Windows tiêu dùng và doanh nghiệp .
• cve.tools báo cáo rằng đến ngày 1 tháng 7 năm 2026 (21 ngày sau khi tiết lộ), không có bản vá nào tồn tại và việc phơi nhiễm kéo dài là "bất thường đối với một zero-day được khai thác công khai trong một thành phần bảo mật cốt lõi" .
• Nhiều nguồn tin nhấn mạnh sự mỉa mai khi chính engine diệt virus của Microsoft — tuyến phòng thủ cuối cùng — lại đang được sử dụng như một vector để xâm phạm ở cấp độ SYSTEM, và sự thiếu khẩn trương từ Microsoft đang đặt ra câu hỏi về quy trình ứng phó lỗ hổng của hãng .

Sự thất vọng cốt lõi: bởi vì Defender được bật theo mặc định trên tất cả các bản cài đặt Windows, lỗ hổng này có một bề mặt tấn công rất lớn, nhưng không có bản vá tạm thời (out-of-band) nào được đưa ra mặc dù mã khai thác chức năng đã có sẵn công khai .

Các Biện Pháp Giảm Thiểu Tạm Thời và Các Bước Tổ Chức Nên Thực Hiện

Các nguồn tin liên tục khuyến nghị những điều sau cho đến khi Microsoft phát hành bản sửa lỗi vĩnh viễn:

Áp dụng bản sửa lỗi khi có sẵn

• Cập nhật Microsoft Malware Protection Engine (MsMpEng) ngay khi Microsoft phát hành bản cập nhật bảo mật. Bản cập nhật này thường được cung cấp qua Windows Update hoặc Microsoft Update Catalog .
• Tính đến ngày 10 tháng 7 năm 2026, chưa có bản sửa lỗi nào — hãy theo dõi tư vấn CVE và Trung tâm Ứng phó Bảo mật Microsoft (MSRC) để biết bản phát hành đột xuất .

Các biện pháp giảm thiểu tạm thời (khi chưa có bản vá)

• Hạn chế tài khoản người dùng cục bộ. Vì khai thác yêu cầu đăng nhập tương tác, hãy giảm thiểu số lượng người dùng tiêu chuẩn trên các hệ thống nhạy cảm .
• Thực thi AppLocker hoặc WDAC (Windows Defender Application Control) để chặn các tệp thực thi và tập lệnh trái phép, bao gồm cả các tệp nhị phân PoC không đáng tin cậy .
• Bật các quy tắc ASR (Attack Surface Reduction) có thể chặn hành vi đánh cắp thông tin xác thực và các quy trình không đáng tin cậy — mặc dù các quy tắc này có thể không trực tiếp ngăn chặn cuộc đua TOCTOU .
• Giám sát các tạo tác khai thác đã biết. Khai thác dựa vào việc tạo oplock và liên kết tượng trưng cụ thể. Triển khai các quy tắc EDR cảnh báo về việc sử dụng oplock bất thường và tạo symlink bất ngờ bởi các quy trình không phải SYSTEM .
• Ưu tiên hạn chế quyền truy cập vật lý/logic vào các điểm cuối Windows cho những người dùng không đáng tin cậy hoặc chưa được xác minh. Đây là biện pháp kiểm soát tạm thời đáng tin cậy nhất vì lỗ hổng yêu cầu thực thi mã cục bộ .
• Sử dụng mô hình đặc quyền tối thiểu (least-privilege models) — không cấp quyền quản trị viên cục bộ cho người dùng tiêu chuẩn, mặc dù cần lưu ý rằng điều này không ngăn chặn được việc khai thác (nó leo thang từ người dùng tiêu chuẩn lên SYSTEM) .