Microsoft Windows Codecs Library: vá lỗi tiết lộ thông tin CVE-2026-96150

CVE-2026-96150 Windows

Microsoft xác nhận CVE-2026-96150 là lỗi tiết lộ thông tin trong Windows Codecs Library, ảnh hưởng các phiên bản Windows và Microsoft Office for Android được liệt kê. Hãy kiểm tra KB áp dụng và cài bản cập nhật phù hợp; khai thác ngoài thực tế chưa được ghi nhận.

Microsoft Windows Codecs Library: vá lỗi tiết lộ thông tin CVE-2026-96150

Tóm tắt nhanh
CVE-2026-96150 là lỗi tiết lộ thông tin trong Microsoft Windows Codecs Library.
Các nhánh Windows, Windows Server và Microsoft Office for Android được liệt kê có bản cập nhật khắc phục.
Microsoft ghi nhận lỗ hổng chưa công khai và chưa bị khai thác ngoài thực tế.
Đối chiếu KB theo phiên bản, rồi cài bản cập nhật phù hợp.

Nội dung bài viết

Microsoft công bố CVE-2026-96150, lỗi tiết lộ thông tin liên quan đến xử lý dữ liệu codec hình ảnh trong Windows Codecs Library. Hãy kiểm tra phạm vi phiên bản và cài bản cập nhật phù hợp theo thông báo của Microsoft MSRC.

Tổng quan và thông tin kỹ thuật

Lỗi thuộc loại sử dụng tài nguyên chưa khởi tạo. Trong điều kiện khai thác cụ thể, kẻ tấn công đã được xác thực có thể tiết lộ một phần dữ liệu hình ảnh riêng tư mà thumbnail service đã xử lý.

Thông tin	Chi tiết
Sản phẩm	Microsoft Windows Codecs Library
Mã lỗ hổng	CVE-2026-96150
Phân loại	CWE-908: Use of Uninitialized Resource
Điểm số	CVSS 3.1: 5.6 (AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N/E:U/RL:O/RC:C)
Công khai / khai thác	Publicly Disclosed: No; Exploited in the Wild: No

Phạm vi ảnh hưởng

Các sản phẩm và nhánh phiên bản dưới đây có bản cập nhật được liệt kê trong hồ sơ. Cài đúng KB và build tương ứng với hệ thống đang quản lý.

Sản phẩm và phiên bản	Bản cập nhật / build
Microsoft Office for Android	KBRelease Notes, Build 16.0.20625.20014
Windows 11 Version 26H1, ARM64 và x64	KB5132059, Build 10.0.28000.3501
Windows Server 2025, gồm Server Core installation	KB5131080, Build 10.0.26100.33822; KB5131077, Build 10.0.26100.33730
Windows 11 Version 26H2, ARM64 và x64	KB5132061, Build 10.0.26300.9974; KB5132043, Build 10.0.26300.9911
Windows 11 Version 25H2, ARM64 và x64	KB5132061, Build 10.0.26200.9974; KB5132043, Build 10.0.26200.9911
Windows 11 Version 24H2, ARM64 và x64	KB5132061, Build 10.0.26100.9974; KB5132043, Build 10.0.26100.9911
Windows 11 Version 23H2, ARM64 và x64	KB5131087, Build 10.0.22631.7711
Windows Server 2022, gồm Server Core installation	KB5131090, Build 10.0.20348.5870
Windows 10 Version 22H2, x64, ARM64 và 32-bit	KB5131096, Build 10.0.19045.7846
Windows 10 Version 21H2, x64, ARM64 và 32-bit	KB5131096, Build 10.0.19044.7846
Windows Server 2019, gồm Server Core installation; Windows 10 Version 1809, x64 và 32-bit	KB5131085, Build 10.0.17763.9487
Windows Server 2016, gồm Server Core installation; Windows 10 Version 1607, x64 và 32-bit	KB5131291, Build 10.0.14393.9688

Cơ chế và tác động

Windows Codecs Library xử lý dữ liệu codec hình ảnh, trong đó có dữ liệu thumbnail service dùng để tạo hình thu nhỏ. Khai thác thành công đòi hỏi dịch vụ đã xử lý dữ liệu hình ảnh riêng tư, sau đó tái sử dụng vùng nhớ liên quan cho yêu cầu thumbnail của kẻ tấn công; không thể giả định chuỗi hoạt động và việc tái sử dụng bộ nhớ này sẽ xảy ra.

Tác động được xác nhận là tiết lộ một phần dữ liệu hình ảnh riêng tư trong điều kiện nêu trên. Lỗi không cho phép truy cập không hạn chế vào tệp tùy ý hoặc thông tin xác thực.

Tình trạng khai thác

Microsoft ghi nhận lỗ hổng chưa được công khai và chưa bị khai thác ngoài thực tế. Hồ sơ không xác nhận PoC công khai hay trạng thái KEV.

Kiểm tra hệ thống

Kiểm tra các bản cập nhật Windows đã cài, rồi đối chiếu KB với phiên bản hệ điều hành đang sử dụng:
```
Get-HotFix
```
Nếu danh sách có KB phù hợp với phiên bản hệ điều hành trong thông báo, bản cập nhật đó đã được cài. Nếu chưa có, đối chiếu phiên bản và KB áp dụng để xử lý.

Khắc phục và giảm thiểu

Ưu tiên cài KB tương ứng với phiên bản Windows bị ảnh hưởng hoặc bản cập nhật Microsoft Office for Android được liệt kê trong bảng phạm vi. Thực hiện theo quy trình quản lý bản vá của tổ chức.