Cơ quan An ninh Mạng và Cấu trúc Hạ tầng Hoa Kỳ (CISA) đã ra lệnh các cơ quan liên bang bảo vệ hệ thống Windows của họ chống lại lỗ hổng bị khai thác trong các cuộc tấn công zero-day.
Được theo dõi dưới mã CVE-2026-32202, lỗ hổng bảo mật này được báo cáo bởi công ty an ninh mạng Akamai, mô tả nó là lỗ hổng rò rỉ NTLM hash zero-click bị để lại sau khi Microsoft vá không hoàn toàn lỗ hổng thực thi mã từ xa (CVE-2026-21510) vào tháng 2.
Như CERT-UA tiết lộ, nhóm gián điệp mạng Nga APT28 (còn gọi là UAC-0001 và Fancy Bear) đã khai thác CVE-2026-21510 trong tấn công chống lại Ukraine và các quốc gia EU vào tháng 12 năm 2025 như một phần của chuỗi khai thác cũng nhắm đến lỗ hổng file LNK (CVE-2026-21513).
Microsoft nói rằng kẻ tấn công từ xa khai thác thành công lỗ hổng CVE-2026-32202 trong các tấn công độ phức tạp thấp bằng cách "gửi cho nạn nhân một file độc hại mà nạn nhân phải thực thi", có thể "xem một số thông tin nhạy cảm" trên hệ thống chưa vá.
Akamai giải thích thêm trong báo cáo thứ Năm rằng lỗ hổng này có thể bị khai thác trong các cuộc tấn công pass-the-hash để đánh cắp NTLM hash (mật khẩu đã băm), sau đó dùng để xác thực như người dùng bị xâm phạm, cho phép kẻ tấn công lan truyền ngang qua mạng hoặc đánh cắp dữ liệu nhạy cảm.
Microsoft cũng gắn cờ lỗ hổng CVE-2026-3220 là bị khai thác trong tấn công vào Chủ Nhật sau khi BleepingComputer liên hệ tuần trước hỏi tại sao bản tư vấn phát hành trong Patch Tuesday tháng 4 năm 2026 có đánh giá khả năng khai thác là 'Exploitation Detected' trong khi lỗ hổng được gắn cờ là không bị khai thác.
Khi được hỏi thêm thông tin về tấn công CVE-2026-32202 (bao gồm việc tin tặc APT28 có khai thác lỗ hổng zero-click này không), Microsoft nói với BleepingComputer rằng họ chưa xác định bằng chứng liên kết CVE này với hoạt động APT28 dựa trên quan sát cho đến nay.
Cơ Quan Liên Bang Được Ra Lệnh Vá Trước Ngày 12 Tháng 5
Vào thứ Ba, CISA đã thêm CVE-2026-32202 vào Danh mục Lỗ Hổng Đã Biết Khai Thác (KEV), ra lệnh các cơ quan Liên Bang Dân Sự Hành Chính (FCEB) vá endpoint và server Windows trong hai tuần, trước ngày 12 tháng 5, theo chỉ thị Chỉ thị Hành Động Ràng Buộc (BOD) 22-01.
"Loại lỗ hổng này là vector tấn công thường xuyên cho tác thể mạng độc hại và tạo ra rủi ro đáng kể cho doanh nghiệp liên bang," cơ quan an ninh mạng cảnh báo.
"Áp dụng các biện pháp giảm thiểu theo hướng dẫn của nhà cung cấp, tuân thủ hướng dẫn BOD 22-01 áp dụng cho dịch vụ đám mây, hoặc ngừng sử dụng sản phẩm nếu biện pháp giảm thiểu không có sẵn."
Mặc dù BOD 22-01 chỉ áp dụng cho cơ quan liên bang Mỹ, CISA đã khuyến khích tất cả đội an ninh ưu tiên triển khai bản vá cho CVE-2026-32202 và bảo mật mạng tổ chức của họ sớm nhất có thể.
Kẻ đe dọa cũng đang tích cực khai thác ba lỗ hổng bảo mật Windows mới được tiết lộ (được gọi là BlueHammer, RedSun, và UnDefend) trong các cuộc tấn công nhằm lấy quyền SYSTEM hoặc quyền quản trị nâng cao, trong đó hai cái sau vẫn chờ bản vá.
Cập nhật 30 tháng 4, 06:04 EDT: Đã thêm tuyên bố của Microsoft.
99% Những Gì Mythos Tìm Thấy Vẫn Chưa Được Vá.
AI chuỗi bốn zero-day thành một khai thác vượt qua cả sandbox trình render và hệ điều hành. Một làn sóng khai thác mới đang đến.
Tại Hội Nghị Xác Thực Tự Động (12 & 14 tháng 5), xem cách xác thực tự động, giàu ngữ cảnh tìm ra gì có thể khai thác, chứng minh biện pháp kiểm soát giữ vững, và khép kín vòng khắc phục.
Đăng Ký Ngay