Lỗ hổng zero-day trong Windows DWM đang bị khai thác để chiếm quyền SYSTEM

[WhiteHat Team]

Microsoft vừa phát đi thông báo khẩn cấp về một lỗ hổng Zero-day nghiêm trọng trong tiến trình Desktop Window Manager, cho phép tin tặc leo thang đặc quyền và kiểm soát hoàn toàn hệ thống. Lỗ hổng này được định danh là CVE-2026-21519, hiện đang bị các nhóm tấn công khai thác tích cực trong thực tế, làm gia tăng đáng kể mức độ rủi ro đối với các hệ thống chưa được vá.
​

Desktop Window Manager, tiến trình dwm.exe, vận hành liên tục trên mọi phiên bản Windows hiện đại và đảm nhiệm hiển thị toàn bộ hiệu ứng hình ảnh như cửa sổ trong suốt, thumbnail trên thanh tác vụ và hỗ trợ màn hình độ phân giải cao. Vì hoạt động ở mức đặc quyền cao và tương tác trực tiếp với nhân hệ điều hành, bất kỳ sai sót bảo mật nào trong thành phần này đều có thể tạo ra hậu quả nghiêm trọng.

CVE-2026-21519 xuất phát từ lỗi xử lý bộ nhớ, khiến chương trình có thể đọc hoặc ghi dữ liệu sai vị trí trong bộ nhớ. Kẻ tấn công có thể lợi dụng điểm yếu này để buộc tiến trình DWM thực thi mã độc. Khi khai thác thành công, đối tượng có thể nâng quyền từ tài khoản người dùng thông thường lên SYSTEM, mức đặc quyền cao nhất trên Windows. Với quyền SYSTEM, kẻ tấn công có thể cài đặt phần mềm, truy cập hoặc xóa dữ liệu, thậm chí tạo tài khoản quản trị mới.

Dù không yêu cầu tương tác từ người dùng, việc khai thác đòi hỏi kẻ tấn công phải có quyền truy cập cục bộ, tức là đã đăng nhập hoặc chiếm được một tài khoản có quyền thấp trên hệ thống. Trong bối cảnh các chiến dịch tấn công hiện đại thường kết hợp nhiều bước xâm nhập, lỗ hổng leo thang đặc quyền như CVE-2026-21519 có thể trở thành mắt xích quan trọng giúp mở rộng quyền kiểm soát trong môi trường doanh nghiệp.

Lỗ hổng ảnh hưởng đến nhiều phiên bản Windows, bao gồm:​

• Windows 10: 1809, 21H2, 22H2​
• Windows 11: 23H2, 24H2, 25H2, 26H1​
• Windows Server: 2016, 2019, 2022, 2025​

Microsoft khẳng định không có giải pháp giảm thiểu tạm thời. Biện pháp duy nhất là cài đặt bản vá trong gói cập nhật bảo mật tháng 2/2026 thông qua Windows Update hoặc Microsoft Update Catalog. Các tổ chức và quản trị viên hệ thống được khuyến nghị rà soát, cập nhật khẩn cấp và theo dõi log hệ thống để phát hiện dấu hiệu leo thang đặc quyền bất thường.​

Theo Cyber Security News​