Microsoft vá kỷ lục hơn 1.400 lỗ hổng ngày 13/10/2026: một lỗi Windows đã bị khai thác thật, cần cập nhật ngay

Ngày 13/10/2026, Microsoft phát hành bản vá bảo mật lớn nhất trong lịch sử hãng: hơn 1.400 lỗ hổng được sửa trong một đợt. Trong số đó có một lỗi Windows đã bị kẻ xấu khai thác thật ngoài thực tế, và một lỗi Outlook nguy hiểm tới mức chỉ cần xem trước email là máy có thể bị chiếm quyền.

Bài này chúng tôi tóm lại những gì đã được xác nhận, và quan trọng hơn: với máy tính của gia đình, cửa hàng và văn phòng ở Cà Mau thì cần làm gì, không cần làm gì.

Bản vá tháng 10/2026: con số kỷ lục

Theo Infosecurity Magazine, đợt Patch Tuesday tháng 10/2026 sửa 1.411 lỗ hổng — nhiều hơn cả tổng số lỗ hổng Microsoft vá trong suốt năm 2025 (hơn 1.100). SecurityWeek ghi con số 1.413 và nêu phân bổ: khoảng 1.102 lỗi thuộc Windows, 134 thuộc Office, 61 thuộc công cụ lập trình và 36 thuộc SharePoint Server. Hai nguồn chênh nhau vài lỗi, và ngày phát hành được ghi là 13/10 hoặc 14/10 tùy múi giờ — nhưng bức tranh chung thì giống nhau.

Trong số này có 70 lỗ hổng mức Critical, trong đó 57 lỗi thuộc dạng thực thi mã từ xa (RCE) — nghĩa là kẻ tấn công có thể chạy mã trên máy nạn nhân mà không cần ngồi trước máy đó.

Con số lớn nghe đáng sợ, nhưng xin nói rõ ngay: phần lớn trong 1.400 lỗi đó nằm ở các thành phần máy chủ, công cụ lập trình hoặc dịch vụ doanh nghiệp mà máy tính thông thường không chạy. Chỉ một số ít ảnh hưởng trực tiếp tới người dùng phổ thông — và đó là phần cần quan tâm.

Lỗ hổng đã bị khai thác thật: CVE-2026-96951

Đây là lỗi duy nhất trong đợt này được xác nhận đã bị khai thác ngoài thực tế trước khi có bản vá. Thông tin đã được xác nhận:

• Mã lỗi: CVE-2026-96951, điểm CVSS 8.8/10.
• Bản chất: lỗi vượt qua cơ chế bảo vệ của Windows Shell, cụ thể là qua được Mark of the Web (MotW) — dấu hiệu Windows gắn vào tệp tải từ internet để cảnh báo người dùng trước khi mở.
• Điều kiện khai thác: không cần tài khoản, không cần quyền quản trị, chỉ cần người dùng mở một tệp được dàn dựng sẵn — gửi qua email lừa đảo, tin nhắn hoặc website độc hại.
• CISA (cơ quan an ninh mạng Mỹ) đã đưa lỗi này vào danh mục lỗ hổng đang bị khai thác, yêu cầu các cơ quan liên bang vá trước ngày 16/10/2026.

Nói đơn giản: cảnh báo “tệp này tải từ internet, bạn có chắc muốn mở?” mà bạn vẫn thấy khi mở file tải về — lỗi này làm cảnh báo đó không hiện ra. Người dùng mất đi lớp nhắc nhở cuối cùng trước khi mở một tệp lạ.

Các lỗ hổng đáng chú ý trong đợt này

Lỗi Outlook: chỉ cần xem trước email

CVE-2026-70242 là lỗi có điểm cao nhất đợt này (CVSS 9.8). Nó nằm ở khung xem trước (Reading Pane) của Outlook: một email được dàn dựng có thể gây tràn bộ đệm ngay khi email được xem trước, không cần người nhận mở email hay bấm vào bất cứ thứ gì.

Hiện chưa có báo cáo nào cho thấy lỗi này đã bị khai thác. Nhưng với dạng lỗi “không cần người dùng làm gì”, đây là lỗi nên vá sớm nếu bạn dùng Outlook để nhận đơn hàng, hóa đơn hay thư từ khách — tức là hầu hết cửa hàng và văn phòng.

Tin này ảnh hưởng gì tới khách hàng ở Cà Mau và nên làm gì

Việc cần làm thật ra rất gọn, và gần như không tốn tiền:

1. Cập nhật Windows ngay. Mở Settings → Windows Update → Check for updates, cài hết rồi khởi động lại. Nếu máy để tự động cập nhật thì có thể đã vá rồi — vẫn nên kiểm tra lại cho chắc, vì nhiều máy ở cửa hàng bị tắt tự động cập nhật từ lâu mà chủ máy không biết.
2. Cập nhật Office/Outlook. Mở Word hoặc Outlook → File → Account → Update Options → Update Now. Bản vá Outlook nằm ở đây, không nằm trong Windows Update.
3. Đừng tắt cảnh báo khi mở tệp tải về. Lỗi CVE-2026-96951 cho thấy lớp cảnh báo đó có giá trị thật. Tệp .zip, .lnk, .js, .hta gửi qua Zalo hay email từ người lạ thì đừng mở, kể cả khi file tên là “hoa_don”, “bang_gia” hay “don_hang”.
4. Kiểm tra máy đang chạy bản Windows nào. Máy còn chạy Windows 10 không có gói ESU, hoặc Windows 11 phiên bản đã hết hỗ trợ, thì sẽ không nhận được các bản vá này — kể cả khi bạn bấm kiểm tra cập nhật. Đây là điểm nhiều khách hay bỏ sót.
5. Sao lưu trước khi cập nhật lớn. Đợt vá lớn đôi khi gây lỗi phụ. Có một bản sao dữ liệu trên ổ cứng hoặc SSD rời là cách rẻ nhất để không mất gì nếu phải cài lại.
6. Máy đang chạy việc quan trọng thì đừng để mất điện giữa lúc cập nhật. Ở Cà Mau điện chập chờn là chuyện thường; một bộ lưu điện UPS đủ giữ máy sống vài phút để cập nhật xong và tắt máy đúng cách.

Khi nào bạn KHÔNG cần mua gì thêm

Chúng tôi nói thẳng: tin này không phải lý do để đổi máy mới. Đây là lỗi phần mềm, vá bằng bản cập nhật miễn phí — không liên quan tới CPU, RAM hay card đồ họa. Bạn cũng không cần mua thêm phần mềm diệt virus trả phí vì tin này; Microsoft Defender có sẵn trên Windows đã đủ với phần lớn hộ gia đình và cửa hàng nhỏ, miễn là máy được cập nhật.

Chỉ có một trường hợp đáng tính tới việc đổi máy: máy đang chạy hệ điều hành đã hết hỗ trợ và không nâng lên Windows 11 được. Lúc đó vấn đề không phải đợt vá này, mà là máy sẽ không nhận bản vá nào nữa — kể cả các đợt sau. Khi đó một laptop văn phòng mới có Windows bản quyền là lựa chọn hợp lý hơn so với việc cố vá một hệ điều hành đã khai tử.

Câu hỏi thường gặp

Máy tôi vẫn chạy bình thường, có cần cập nhật ngay không?

Có. Lỗi CVE-2026-96951 không làm máy chậm hay báo lỗi gì — nó chỉ âm thầm bỏ bớt một lớp cảnh báo. Máy chạy bình thường không có nghĩa là máy an toàn.

Cập nhật Windows có làm mất dữ liệu không?

Bản vá bảo mật hàng tháng không xóa dữ liệu. Nhưng vì đây là đợt vá rất lớn, chúng tôi vẫn khuyên sao lưu các thư mục quan trọng trước khi cài, giống như mọi lần cập nhật lớn khác.

Tôi không dùng Outlook, có bị ảnh hưởng bởi lỗi CVSS 9.8 không?

Không. Lỗi CVE-2026-70242 chỉ liên quan tới Outlook. Nếu bạn xem mail bằng trình duyệt (Gmail, Zalo mail) thì lỗi này không áp dụng — nhưng lỗi Windows Shell thì vẫn áp dụng cho mọi máy Windows.

Máy tính cửa hàng tôi nhiều máy, cập nhật thủ công từng máy có cách nào nhanh hơn?

Với vài máy thì cập nhật thủ công vẫn nhanh nhất. Từ khoảng 5 máy trở lên, nên bật lại tự động cập nhật và đặt giờ khởi động lại ngoài giờ bán hàng. Chúng tôi có thể thiết lập giúp khi tới bảo dưỡng máy định kỳ.

Nguồn tham khảo

• Infosecurity Magazine — Microsoft Breaks Patch Tuesday Record Again with 1400+ CVEs
• SecurityWeek — Microsoft Patches Record 1,413 Vulnerabilities, Including Exploited Windows Zero-Day

Nếu bạn không chắc máy mình đã nhận bản vá hay chưa, hoặc máy báo lỗi khi cập nhật, cứ mang máy tới hoặc gọi cho chúng tôi — kiểm tra tình trạng cập nhật là việc nhanh và chúng tôi không tính phí cho thao tác này. Chúng tôi cũng nhận kiểm tra, cập nhật và bảo dưỡng theo cụm máy cho cửa hàng, văn phòng và trường học trong thành phố.

Tawin Thế Giới Số — 100 Ngô Quyền, phường An Xuyên, TP. Cà Mau. Hỗ trợ kỹ thuật: 0839 211 242. Mở cửa 7h30 – 17h.