Microsoft đã đóng 570 lỗ hổng bảo mật trên Windows 10, Windows 11 và Windows Server với bản cập nhật Patch Tuesday tháng 7, một con số phá vỡ mọi kỷ lục hàng tháng được thiết lập cho đến nay. Tổng số này vượt xa kỷ lục hàng tháng trước đó là 206 vụ vi phạm an ninh được ghi nhận vào tháng 6 và nâng tổng số lỗ hổng được khắc phục kể từ đầu tháng lên hơn 620.
Tích lũy trong cả năm 2026, số lượng lỗ hổng được Microsoft xử lý hiện lên tới 1.380, một con số đã vượt qua kỷ lục hàng năm trước đó là 1.250 được thiết lập vào năm 2020. Hơn 400 lỗ hổng trong số này liên quan trực tiếp đến các phiên bản Windows khác nhau, cho dù là Windows 10, Windows 11 hay Windows Server.
Lỗ hổng nghiêm trọng đã bị khai thác trên Windows
Trong số các lỗ hổng Windows được vá trong tháng này có 24 lỗi thực thi mã từ xa được đánh giá là nghiêm trọng, cũng như 7 lỗi nâng cao đặc quyền nghiêm trọng không kém. Mối quan tâm đáng lo ngại nhất là Dịch vụ Liên kết Active Directory (ADFS), trong đó lỗ hổng được tham chiếu CVE-2026-56155 cho phép kẻ tấn công giành được quyền truy cập của quản trị viên bằng cách khai thác các biện pháp kiểm soát truy cập không đầy đủ. Nó đã được khai thác tích cực trong tự nhiên. Lỗ hổng này ảnh hưởng đến nhiều hệ thống, từ Windows Server 2012 cho đến Windows Server 2025, cũng như một số phiên bản Windows 10 cũ hơn.
Các lỗi kỹ thuật khác đáng được quản trị viên hệ thống quan tâm:
- lỗ hổng use-after-free (CVE-2026-57092) trong Hyper-V VMSwitch, cho phép kẻ tấn công có đặc quyền thấp nâng cao quyền của chúng từ máy khách lên máy chủ
- Lỗ hổng thực thi mã từ xa (CVE-2026-56190) trong Giao thức máy tính từ xa (RDP), có thể khai thác thông qua các gói được chế tạo đặc biệt tương tác với bộ nhớ chưa được khởi tạo
- một lỗ hổng tương tự (CVE-2026-56188) trong trình điều khiển mạng Windows Server, ảnh hưởng đến tất cả các phiên bản Windows 10 cho đến Server 2025
- 9 lỗ hổng riêng biệt ảnh hưởng đến máy chủ DHCP, trong đó có lỗ hổng nghiêm trọng CVE-2026-50518
Office và SharePoint cũng tập trung rủi ro
Lô bản vá tháng 7 bao gồm 97 lỗ hổng ảnh hưởng đến bộ Office, gần gấp đôi con số 49 lỗ hổng được xác định trong tháng 6. 17 trong số đó thuộc loại mã tùy ý được phân loại là quan trọng, một số mã trong số đó có thể được sử dụng đơn giản thông qua khung xem trước mà thậm chí không yêu cầu mở tệp liên quan. 48 lỗ hổng Office còn lại tuân theo kiểu tấn công truyền thống hơn, yêu cầu người dùng trực tiếp mở tệp độc hại.
SharePoint Server cũng tập trung vào một số lỗ hổng nhạy cảm trong tháng này. Lỗ hổng nâng cao đặc quyền CVE-2026-56164 đã bị khai thác tích cực và cho phép truy cập mạng mà không cần xác thực người dùng trước. Lỗ hổng thứ hai, CVE-2026-55040, cũng cho phép truy cập vào các tệp mà không cần xác thực. Hai lỗ hổng bổ sung, được tham chiếu là CVE-2026-50522 và CVE-2026-58644, hoàn thành đợt này, lỗ hổng đầu tiên là chủ đề trình diễn công khai trong cuộc thi hack Pwn2Own.
Đây là cơ hội để nhắc bạn rằng Microsoft mở rộng chương trình cập nhật bảo mật mở rộng cho Windows 10 cho đến ngày 12 tháng 10 năm 2027. Công ty cũng đã sửa các lỗ hổng ảnh hưởng đến Exchange Server, trình duyệt Edge cũng như các trò chơi Minecraft Và Age of Empires II: Phiên bản dứt khoát. Bản vá Thứ Ba tiếp theo sẽ được phát hành vào ngày 11 tháng 8 năm 2026.
