Lỗ hổng use-after-free trong Microsoft Office Excel cho phép thực thi mã từ xa

Lỗi use-after-free trong Microsoft Office Excel cho phép kẻ tấn công không được cấp quyền thực thi mã qua mạng.

• Microsoft 365 Apps for Enterprise: Bản ghi đánh dấu baseline 16.0.1 là bị ảnh hưởng trên hệ thống 32-bit và x64, đồng thời dùng kênh Microsoft Office Security Releases làm ranh giới so sánh; dữ liệu không cung cấp một build số cố định cho bản sửa lỗi.
• Microsoft Office 365 for Mac: Các phiên bản thấp hơn 16.114.26101123 bị ảnh hưởng; Microsoft xác định 16.114.26101123 là bản sửa lỗi cho nhánh này.
• Microsoft Office LTSC for Mac 2021: Các phiên bản thấp hơn 16.114.26101123 bị ảnh hưởng; bản sửa lỗi được xác định là 16.114.26101123.
• Microsoft Office LTSC for Mac 2024: Các phiên bản thấp hơn 16.114.26101123 bị ảnh hưởng; bản sửa lỗi được xác định là 16.114.26101123.
• Microsoft Office LTSC 2021: Các phiên bản thấp hơn 16.0.14334.20974 bị ảnh hưởng trên cả bản 32-bit và 64-bit; bản sửa lỗi được xác định là 16.0.14334.20974.
• Microsoft Office LTSC 2024: Các phiên bản thấp hơn 16.0.17932.21056 bị ảnh hưởng trên cả bản 32-bit và 64-bit; bản sửa lỗi được xác định là 16.0.17932.21056.
• Office Online Server: Các phiên bản thấp hơn 16.0.10417.20228 bị ảnh hưởng; bản sửa lỗi được xác định là 16.0.10417.20228. Trạng thái của các nhánh hoặc sản phẩm không được liệt kê không nên được suy ra chỉ từ bản ghi này.

Microsoft Office Excel chứa lỗi use-after-free, được phân loại là CWE-416. Bằng chứng hiện có không xác định đối tượng đã bị giải phóng, routine dễ bị lỗi, định dạng tệp hoặc dữ liệu đầu vào cụ thể do kẻ tấn công kiểm soát. Lỗi có thể bị tiếp cận qua mạng, không yêu cầu đặc quyền trước đó và yêu cầu người dùng tương tác; độ phức tạp tấn công được đánh giá là thấp. Vì vậy, bằng chứng ủng hộ một đường dẫn thực thi mã từ xa khi người dùng tương tác với nội dung do kẻ tấn công cung cấp, nhưng trigger và cơ chế phân phối chính xác vẫn chưa được xác định. Phạm vi bị ảnh hưởng gồm các nhánh Office cho desktop, Office cho Mac và Office Online Server được liệt kê bên dưới.

• Khả năng tiếp cận: Qua mạng.
• Xác thực và đặc quyền: Không yêu cầu đặc quyền trước đó.
• Tương tác người dùng: Bắt buộc. Bản ghi không cho biết chính xác người dùng phải thực hiện thao tác nào.
• Độ phức tạp: Thấp theo dữ liệu cấu trúc được cung cấp.
• Tình trạng khai thác: Bản ghi đánh dấu public_exploit là false, còn Microsoft VEX phân loại mức độ trưởng thành của exploit code là chưa được chứng minh. Điều này không chứng minh rằng lỗ hổng chưa từng bị khai thác trong thực tế. Không có trạng thái known-exploited hoặc chiến dịch ransomware nào được cung cấp.

Lỗi có thể dẫn đến thực thi mã từ xa trong Microsoft Office Excel khi đạt được điều kiện tương tác người dùng. Dữ liệu cấu trúc cho thấy tác động tiềm ẩn đến tính bí mật, toàn vẹn và khả dụng đều ở mức cao, trong khi phạm vi bảo mật được giữ nguyên. Việc không yêu cầu đặc quyền trước đó làm tăng rủi ro đối với người dùng hoặc dịch vụ xử lý nội dung không tin cậy, nhưng yêu cầu tương tác người dùng là một giới hạn thực tế của đường tấn công. Bằng chứng hiện có không xác nhận leo thang đặc quyền, vượt qua ranh giới bảo mật hoặc một kịch bản xâm nhập cụ thể.

Nếu khai thác thành công, kẻ tấn công có thể thực thi mã trong phạm vi bảo mật của tiến trình Office bị ảnh hưởng, dẫn đến nguy cơ mất tính bí mật, toàn vẹn và khả dụng của dữ liệu hoặc dịch vụ mà tiến trình đó có thể truy cập. Với máy trạm, rủi ro tập trung vào các tệp và dữ liệu mà người dùng mở hoặc có quyền truy cập. Với Office Online Server, hệ thống máy chủ và các dịch vụ xử lý tài liệu cần được đưa vào phạm vi rà soát. Bản ghi không xác nhận một vụ xâm nhập, nạn nhân cụ thể hoặc kịch bản mất dữ liệu cụ thể.

1. Triển khai bản cập nhật của Microsoft:

• Microsoft Office LTSC 2021: cập nhật đến build cố định 16.0.14334.20974 cho cả bản 32-bit và 64-bit.
• Microsoft Office LTSC 2024: cập nhật đến build cố định 16.0.17932.21056 cho cả bản 32-bit và 64-bit.
• Microsoft Office 365 for Mac, Office LTSC for Mac 2021 và Office LTSC for Mac 2024: cập nhật đến 16.114.26101123.
• Office Online Server: cập nhật đến 16.0.10417.20228.
• Microsoft 365 Apps for Enterprise: triển khai bản cập nhật bảo mật qua kênh Microsoft Office Security Releases, vì nguồn không cung cấp một build số cố định cho nhánh này.

1. Microsoft cho biết lỗ hổng đã được xử lý bởi các bản cập nhật phát hành trong tháng 10 năm 2026, nhưng CVE này bị bỏ sót khỏi danh sách Security Updates tháng 10 năm 2026. Đây là thay đổi mang tính thông tin; khách hàng đã cài các bản cập nhật tháng 10 năm 2026 không cần thực hiện thêm hành động cho riêng vấn đề bỏ sót này.
2. Sau khi triển khai, kiểm tra lại inventory và build thực tế trên từng nhánh sản phẩm. Không suy luận rằng các nhánh song song hoặc bản phát hành không được liệt kê đã an toàn.
3. Bản ghi không cung cấp workaround riêng ngoài việc áp dụng bản sửa lỗi của Microsoft. Nếu chưa thể cập nhật, cần áp dụng hướng dẫn giảm thiểu hiện hành của Microsoft sau khi xác định đúng sản phẩm và nhánh triển khai.

1. Kiểm kê các bản cài đặt Microsoft Office Excel trên máy trạm, máy Mac và máy chủ chạy Office Online Server, đồng thời ghi nhận nền tảng và kiến trúc 32-bit hoặc 64-bit khi có thể.
2. Đối chiếu build với các ranh giới bản sửa lỗi: Office LTSC 2021 phải đạt 16.0.14334.20974, Office LTSC 2024 phải đạt 16.0.17932.21056, Office cho Mac phải đạt 16.114.26101123, còn Office Online Server phải đạt 16.0.10417.20228.
3. Với Microsoft 365 Apps for Enterprise, kiểm tra kênh Office Security Releases và xác nhận bản cập nhật bảo mật tương ứng đã được triển khai; dữ liệu nguồn không cung cấp một số build cố định cho nhánh này.
4. Xác minh trạng thái triển khai các bản cập nhật bảo mật tháng 10 năm 2026. Theo Microsoft, các bản cập nhật này đã xử lý lỗ hổng dù mã CVE bị bỏ sót khỏi danh sách Security Updates tháng đó.
5. Có thể rà soát telemetry về lỗi bất thường hoặc hành vi đáng ngờ của Excel và Office như một biện pháp phòng ngừa, nhưng không có log event hoặc IOC cụ thể nào được xác nhận cho lỗ hổng này. Việc không thấy dấu hiệu trong log không chứng minh hệ thống an toàn.