BLOG
Tóm tắt nhanh
- CVE-2026-113749 là lỗ hổng thực thi mã từ xa trong Microsoft Windows Codecs Library; Microsoft đánh giá Critical.
- Hồ sơ ghi nhận các nhánh Windows 11, Windows 10, Windows Server và Microsoft Office for Android cùng thông tin cập nhật tương ứng.
- Microsoft cho biết chưa có khai thác thực tế; CVSS 3.1 là 7.5.
- Cài KB phù hợp với phiên bản đang dùng và kiểm tra cả hệ thống Server Core.
Microsoft Windows Codecs Library: vá lỗ hổng thực thi mã từ xa CVE-2026-113749
Microsoft đánh giá CVE-2026-113749 là lỗ hổng Critical trong Windows Codecs Library, có thể dẫn đến thực thi mã từ xa qua mạng khi người dùng tương tác. Chưa ghi nhận khai thác thực tế; hãy cài KB phù hợp với từng phiên bản Windows hoặc Windows Server.
Nội dung bài viết
Microsoft công bố advisory CVE-2026-113749 cho Microsoft Windows Codecs Library, thành phần cung cấp các chức năng xử lý codec trong Windows. Lỗ hổng có thể cho phép thực thi mã từ xa qua mạng, nhưng khai thác yêu cầu độ phức tạp cao và tương tác của người dùng. Xem advisory của Microsoft để đối chiếu thông tin và bản cập nhật.
Tổng quan và thông tin kỹ thuật
Lỗi được mô tả là heap-based buffer overflow trong Microsoft Windows Codecs Library. Microsoft đánh giá mức độ Critical; điểm CVSS 3.1 trong hồ sơ là 7.5, không phải điểm quy đổi từ nhãn mức độ.
| Thông tin | Chi tiết |
|---|---|
| Sản phẩm | Microsoft Windows Codecs Library |
| Mã lỗ hổng | CVE-2026-113749 |
| CWE | CWE-122: Heap-based Buffer Overflow; CWE-190: Integer Overflow or Wraparound |
| CVSS | CVSS 3.1: 7.5 (AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H/E:U/RL:O/RC:C) |
| Đánh giá của Microsoft | Critical |
| Công khai và khai thác | Publicly Disclosed: No; Exploited in the Wild: No |
Phạm vi ảnh hưởng
Hồ sơ liệt kê các phiên bản và thông tin cập nhật dưới đây. Một số nhánh có hai KB/build được nêu riêng; hãy đối chiếu theo đúng nhánh hệ điều hành.
| Sản phẩm/phiên bản | KB và build được liệt kê |
|---|---|
| Windows 11 Version 26H2, ARM64 và x64 | KB5132061, Build 10.0.26300.9974; KB5132043, Build 10.0.26300.9911 |
| Windows 11 Version 25H2, ARM64 và x64 | KB5132061, Build 10.0.26200.9974; KB5132043, Build 10.0.26200.9911 |
| Windows Server 2025, gồm Server Core | KB5131080, Build 10.0.26100.33822; KB5131077, Build 10.0.26100.33730 |
| Windows 11 version 26H1, x64 và ARM64 | KB5132059, Build 10.0.28000.3501 |
| Windows 11 Version 23H2, x64 và ARM64 | KB5131087, Build 10.0.22631.7711 |
| Windows 11 Version 24H2, ARM64 và x64 | KB5132061, Build 10.0.26100.9974; KB5132043, Build 10.0.26100.9911 |
| Windows Server 2022, gồm Server Core | KB5131090, Build 10.0.20348.5870 |
| Windows 10 Version 22H2, ARM64, x64 và 32-bit | KB5131096, Build 10.0.19045.7846 |
| Windows 10 Version 21H2, x64, ARM64 và 32-bit | KB5131096, Build 10.0.19044.7846 |
| Windows Server 2019, gồm Server Core; Windows 10 Version 1809, x64 và 32-bit | KB5131085, Build 10.0.17763.9487 |
| Windows Server 2016, gồm Server Core; Windows 10 Version 1607, x64 và 32-bit | KB5131291, Build 10.0.14393.9688 |
| Microsoft Office for Android | KBRelease Notes, Build 16.0.20625.20014 |
Cơ chế và tác động
Lỗi heap-based buffer overflow có thể cho phép kẻ tấn công chưa được xác thực thực thi mã qua mạng. Khai thác yêu cầu độ phức tạp cao và tương tác của người dùng; khả năng thành công không được đảm bảo, đồng thời phụ thuộc môi trường, cấu hình hệ thống và các biện pháp bảo mật bổ sung.
Tình trạng khai thác
Microsoft ghi nhận Exploited in the Wild: No và Publicly Disclosed: No. Đây là các trạng thái được nêu trong hồ sơ; chúng không làm thay đổi yêu cầu cài bản cập nhật tương ứng.
Kiểm tra hệ thống
Liệt kê các hotfix đã cài đặt để đối chiếu KB tương ứng:
Get-HotFix | Sort-Object InstalledOn -DescendingXem thông tin hệ điều hành, rồi đối chiếu phiên bản/build và KB với nhánh tương ứng trong bảng phạm vi ảnh hưởng:
systeminfo
Nếu hệ thống chưa có bản cập nhật tương ứng, cần vá theo hướng dẫn cho đúng phiên bản.
Khắc phục và giảm thiểu
Cài KB hoặc bản cập nhật được liệt kê cho đúng phiên bản Windows hoặc Windows Server đang sử dụng. Ưu tiên xử lý và kiểm tra cả các hệ thống Server Core.
Với Microsoft Office for Android, tham khảo KBRelease Notes, Build 16.0.20625.20014.
Sau khi cài đặt, kiểm tra lại KB đã cài và build hệ điều hành bằng các bước kiểm tra ở trên, rồi đối chiếu với thông tin tương ứng trong bảng.
Bài viết liên quan
CVE-2026-95948: cập nhật Windows để xử lý lỗi nâng quyền trong Graphics Kernel
Microsoft công bố CVE-2026-95948, lỗi tràn bộ đệm trên stack trong Windows Graphics Kernel có thể cho phép người dùng cục bộ đã xác thực nâng quyền lên SYSTEM. Microsoft ghi nhận CVSS 7.8; chưa công khai và chưa bị khai thác ngoài thực tế. Hãy cài KB phù hợp với phiên bản Windows bị ảnh hưởng.
CVE-2026-95932: cập nhật Windows để khắc phục lỗ hổng nâng quyền lên SYSTEM
Microsoft công bố CVE-2026-95932, lỗ hổng nâng quyền trong Windows Graphics Kernel, được xếp Important với CVSS 3.1 là 7.8. Kẻ tấn công có quyền truy cập cục bộ có thể nâng quyền lên SYSTEM. Microsoft chưa ghi nhận khai thác ngoài thực tế; hãy cài KB hoặc build đã vá phù hợp.
CVE-2026-88217: cập nhật Windows và Office để khắc phục lỗi tiết lộ thông tin
Microsoft công bố CVE-2026-88217, lỗi tiết lộ thông tin trong Windows Graphics Kernel ảnh hưởng một số phiên bản Windows, Windows Server và Microsoft Office. Lỗi cần truy cập cục bộ; chưa ghi nhận khai thác ngoài thực tế. Cài KB hoặc build tương ứng.
Microsoft Windows Codecs Library: vá lỗi tiết lộ thông tin CVE-2026-96150
Microsoft xác nhận CVE-2026-96150 là lỗi tiết lộ thông tin trong Windows Codecs Library, ảnh hưởng các phiên bản Windows và Microsoft Office for Android được liệt kê. Hãy kiểm tra KB áp dụng và cài bản cập nhật phù hợp; khai thác ngoài thực tế chưa được ghi nhận.