Theo đó, bản vá Patch Tuesday tháng 12 đã khắc phục 28 lỗ hổng leo thang đặc quyền; 19 lỗ hổng thực thi mã từ xa (RCE); 04 lỗ hổng tiết lộ thông tin; 03 lỗ hổng từ chối dịch vụ (DoS) và 02 lỗ hổng giả mạo (Spoofing). Số lượng này không bao gồm các lỗ hổng Mariner và Microsoft Edge đã được khắc phục sớm vào đầu tháng này. Đáng chú ý, trong số 19 lỗ hổng RCE, có 03 lỗ hổng được đánh giá là nghiêm trọng đã được Microsoft khắc phục.
CVE-2025-62221: Lỗ hổng leo thang đặc quyền Windows Cloud Files Mini Filter Driver
Microsoft giải thích: “CVE-2025-62221 là lỗi use-after-free trong Windows Cloud Files Mini Filter Driver, cho phép kẻ tấn công được ủy quyền leo thang đặc quyền cục bộ". Gã khổng lồ công nghệ cho biết, việc khai thác thành công lỗ hổng này cho phép tin tặc giành được quyền truy cập hệ thống (SYSTEM).
Theo chia sẻ, CVE-2025-62221 được phát hiện bởi Trung tâm Tình báo Mối đe dọa của Microsoft (MSTIC) và Trung tâm Phản ứng An ninh của Microsoft (MSRC), nhưng chưa tiết lộ cách thức lỗ hổng bị khai thác.
CVE-2025-64671 - Lỗ hổng RCE GitHub Copilot for Jetbrains
Việc vô hiệu hóa không đúng cách các phần tử đặc biệt được sử dụng trong một lệnh (command injection) trong Copilot cho phép kẻ tấn công trái phép thực thi mã cục bộ. Lỗ hổng zero-day này có thể bị khai thác thông qua phương thức tấn công Cross Prompt Injection trong các tệp tin không đáng tin cậy hoặc máy chủ MCP.
“Thông qua một lỗ hổng Cross Prompt Inject độc hại trong các tệp không đáng tin cậy hoặc máy chủ MCP, kẻ tấn công có thể thực thi các lệnh bổ sung bằng cách thêm chúng vào các lệnh được cho phép trong cài đặt tự động phê duyệt của thiết bị đầu cuối người dùng”, Microsoft cho biết.
CVE-2025-54100 - Lỗ hổng RCE PowerShell
Lỗ hổng zero-day thứ hai được khắc phục là CVE-2025-54100. Lỗ hổng PowerShell này liên quan đến Invoke-WebRequest, cho phép kẻ tấn công trái phép thực thi mã cục bộ.
Microsoft đã thực hiện một thay đổi, hiển thị cảnh báo khi PowerShell sử dụng “Invoke-WebRequest”, nhắc người dùng thêm tham số -UseBasicParsing để ngăn chặn việc thực thi mã.
Dưới đây là danh sách đầy đủ các lỗ hổng đã được giải quyết trong bản cập nhật Patch Tuesday tháng 12/2025. Quý độc giả có thể xem mô tả đầy đủ về từng loại lỗ hổng và hệ thống bị ảnh hưởng tại đây.
Hướng dẫn cập nhật bản vá tự động trên Windows
Bước 1: Kích chuột vào biểu tượng Windows cửa sổ hiện ra chọn vào Settings.
Bước 2: Cửa sổ hiện ra kích chọn Update & Security.
Bước 3: Cửa sổ hiện ra kích chọn Windows Update, tiếp theo chọn Check for updates.
Sau khi hoàn thành, tiến hành khởi động lại máy. Người dùng quan tâm hướng dẫn chi tiết cập nhật lỗ hổng có thể theo dõi quy trình cập nhật bản vá trên máy trạm tại đây.
