Bản vá Patch Tuesday tháng 10/2026 của Microsoft lập kỷ lục với 1.413 lỗ hổng CVE, vượt xa mức 974 của tháng trước. Trong đó có một lỗ hổng bỏ qua tính năng bảo mật của Windows Shell (CVE-2026-96951) đã bị khai thác ngoài thực tế. Theo mô tả, nó giúp kẻ tấn công né cơ chế Mark of the Web. Vậy cơ chế này hoạt động ra sao?

Mark of the Web là một tấm nhãn nhỏ

Khi bạn tải một tệp từ Internet về ổ NTFS, trình duyệt hoặc ứng dụng thư gắn thêm một luồng dữ liệu phụ có tên Zone.Identifier vào tệp đó. Luồng này ghi rằng tệp đến từ vùng Internet, đôi khi kèm địa chỉ nguồn. Đó chính là Mark of the Web, viết tắt MotW. Nội dung tệp không đổi, nhưng hệ điều hành có thêm một ghi chú: tệp này không đáng tin hoàn toàn.

Windows dùng nhãn này thế nào

Mỗi khi bạn mở tệp, các thành phần như Windows Shell, SmartScreen hay Microsoft Office sẽ đọc nhãn. Nếu thấy MotW, SmartScreen có thể hiện cảnh báo khi chạy tệp thực thi, còn Office mở tài liệu ở Chế độ xem được bảo vệ và chặn macro. Nhờ vậy, một tệp đính kèm lừa đảo không thể tự chạy mã chỉ sau một cú nhấp đúp.

Vì sao kẻ tấn công nhắm vào nhãn này

Toàn bộ lớp bảo vệ trên dựa vào một giả định: tệp có nhãn thì bị kiểm tra. Nếu kẻ tấn công khiến tệp mất nhãn, hoặc khiến Shell không đọc được nhãn, mọi cảnh báo biến mất. Các thủ thuật quen thuộc gồm đóng gói tệp trong ISO, VHD hoặc tệp nén mà công cụ giải nén không chép nhãn sang tệp bên trong. Lỗ hổng lần này thuộc dạng bỏ qua tính năng bảo mật: bản thân nó không chạy mã, nhưng gỡ bỏ rào cản đầu tiên để một cuộc tấn công khác thành công.

Điều kỹ sư nên rút ra

Thứ nhất, hãy ưu tiên vá lỗ hổng đang bị khai thác ngoài thực tế. Thứ hai, đừng coi cảnh báo SmartScreen là hàng rào duy nhất: hãy kết hợp chặn macro từ Internet, hạn chế chạy tệp ISO và giám sát hành vi. Thứ ba, con số 1.413 chưa chắc chỉ phản ánh phần mềm tệ hơn; nó cũng cho thấy công cụ dò lỗi, kể cả AI, đang tìm ra nhiều hơn trước. Để tìm hiểu thêm về lĩnh vực này, xem mục an ninh mạng và công nghệ của VnRead.