Microsoft phát hành bản vá Patch Tuesday tháng 7/2025, khắc phục 130 lỗ hổng

[WhiteHat Team]

Microsoft vừa công bố bản vá định kỳ Patch Tuesday tháng 7/2025, xử lý tổng cộng 130 lỗ hổng trên nhiều sản phẩm chủ lực như Windows, Microsoft Office, SQL Server, Visual Studio và trình duyệt Microsoft Edge. Đây là một trong những đợt phát hành có quy mô lớn trong năm, bao gồm nhiều lỗi nghiêm trọng với khả năng bị khai thác từ xa.

41 lỗi RCE và không có lỗ hổng zero-day​

Theo thống kê từ Microsoft, số lượng lỗ hổng theo từng loại gồm 41 lỗi thực thi mã từ xa (RCE), 53 lỗi leo thang đặc quyền, 18 lỗi rò rỉ thông tin, 8 lỗi bỏ qua tính năng bảo mật, cùng một số lỗi liên quan đến giả mạo, từ chối dịch vụ và can thiệp dữ liệu.

Đáng chú ý, không có lỗ hổng nào bị khai thác thực tế tại thời điểm phát hành. Hầu hết các lỗ hổng được đánh giá có khả năng khai thác thấp hoặc không có khả năng khai thác, theo tiêu chí đánh giá nội bộ của Microsoft.

Các lỗ hổng nghiêm trọng cần ưu tiên​

Một số lỗ hổng có điểm CVSS cao và ảnh hưởng rộng cần được ưu tiên vá sớm:

• CVE-2025-47981: Lỗ hổng trong cơ chế đàm phán bảo mật SPNEGO NEGOEX của Windows, cho phép thực thi mã từ xa qua mạng mà không cần tương tác người dùng. Mức độ nghiêm trọng đạt CVSS 9,8
• CVE-2025-49717: Lỗ hổng RCE trong SQL Server. Khai thác thành công có thể cho phép kẻ tấn công thực thi mã với đặc quyền cao trên hệ thống cơ sở dữ liệu.
• Nhóm lỗ hổng RRAS (CVE-2025-49657 đến CVE-2025-49753): Ảnh hưởng đến dịch vụ Routing and Remote Access của Windows. Các lỗi này yêu cầu tương tác người dùng nhưng vẫn có thể bị khai thác từ xa, với điểm CVSS lên tới 8,8
• CVE-2025-49687: Lỗi thực thi mã cục bộ trong Input Method Editor (IME), xuất hiện trong các cấu hình cụ thể.

Ngoài ra, nhiều lỗ hổng trong Microsoft Office, SharePoint, BitLocker, Hyper-V, Windows Kernel và các dịch vụ nền tảng khác cũng được liệt kê với mức độ nghiêm trọng từ trung bình đến cao, cho thấy phạm vi ảnh hưởng trải rộng từ thiết bị cá nhân đến hạ tầng doanh nghiệp.

Bản cập nhật tích lũy cho Windows 10 và Windows 11​

Cùng với đợt phát hành này, Microsoft cung cấp bản cập nhật tích lũy KB5062554 dành cho Windows 10 phiên bản 21H2, 22H2, Enterprise LTSC 2021 và IoT Enterprise LTSC 2021. Bản vá bao gồm các bản cập nhật bảo mật tháng 7, cải thiện hiệu năng hệ thống và khắc phục các lỗi còn tồn đọng.

Đối với Windows 11, bản cập nhật tích lũy KB5062552 được phát hành cho phiên bản 22H2 và 23H2, trong khi KB5062553 áp dụng cho phiên bản 24H2 mới nhất. Sau khi cài đặt, hệ thống sẽ được nâng cấp lên các bản dựng tương ứng như 22621.5624, 22631.5624 và 26100.4652, tùy theo phiên bản.

Tất cả các bản cập nhật đều đi kèm với các cải tiến về bảo mật, ổn định và khả năng tương thích, đồng thời được tích hợp sẵn Servicing Stack Update (SSU) để đảm bảo quá trình cài đặt diễn ra ổn định.

Cảnh báo về chứng chỉ Secure Boot​

Microsoft cũng đưa ra cảnh báo quan trọng về việc chứng chỉ Secure Boot sẽ bắt đầu hết hạn từ tháng 6/2026 đối với nhiều thiết bị chạy Windows. Đây là thành phần quan trọng đảm bảo tính toàn vẹn trong quá trình khởi động hệ điều hành.

Nếu không được cập nhật kịp thời, sự cố có thể xảy ra ở cả môi trường cá nhân và doanh nghiệp. Microsoft khuyến nghị người dùng chủ động kiểm tra hệ thống, theo dõi tài liệu hướng dẫn và triển khai cập nhật chứng chỉ đúng hạn để tránh gián đoạn hoạt động và rủi ro an ninh không mong muốn.

Hướng dẫn triển khai​

Người dùng có thể triển khai bản vá tháng 7/2025 thông qua các kênh cập nhật chính thức sau:

• Windows Update: Tự động tải và cài đặt trên các thiết bị cá nhân
• Microsoft Update Catalog: Cho phép tải về gói cập nhật độc lập để cài đặt thủ công
• Windows Server Update Services (WSUS): Phù hợp với triển khai trên diện rộng trong môi trường doanh nghiệp

Lưu ý, đối với các hệ thống chưa cài đặt bản cập nhật tích lũy (LCU) từ tháng 5 năm 2021 trở đi, hoặc thiếu bản cập nhật servicing stack tháng 10 năm 2023 (KB5031539), cần thực hiện cài đặt bổ sung các bản vá này trước khi áp dụng bản cập nhật tháng 7 năm 2025. Việc này nhằm đảm bảo quá trình cập nhật diễn ra ổn định và không phát sinh lỗi tương thích.

Bản vá tháng 7/2025 đánh dấu một đợt cập nhật quan trọng với số lượng lỗ hổng lớn và phạm vi ảnh hưởng rộng. Người dùng và doanh nghiệp cần sớm triển khai để giảm thiểu rủi ro tấn công và duy trì hệ thống trong trạng thái bảo mật tối ưu.

Theo Microsoft Security Response Center (MSRC)​