Trong khuôn khổ “Patch Tuesday” tháng 12/2025, Microsoft đã phát hành bản cập nhật bảo mật mở rộng dành cho Windows 10 với mã KB5071546, khắc phục tổng cộng 57 lỗ hổng bảo mật, trong đó có 3 lỗ hổng zero-day nguy hiểm.
Do Microsoft đã ngừng hỗ trợ chính thức cho Windows 10, nên bản cập nhật lần này không bổ sung tính năng mới, mà chủ yếu sửa lỗi do các bản vá trước đó gây ra, đồng thời khắc phục các vấn đề bảo mật.
Đối với những người đang sử dụng Windows 10 Enterprise LTSC hoặc đã đăng ký chương trình Extended Security Updates (ESU), hệ thống sẽ tự động tải về bản cập nhật sau khi phát hiện và yêu cầu khởi động lại máy.
Sau khi cài đặt hoàn tất, phiên bản Windows 10 sẽ được nâng lên Build 19045.6691, còn Windows 10 Enterprise LTSC 2021 sẽ được cập nhật lên Build 19044.6691. Người dùng có thể vào Settings → Windows Update → Check for updates để kiểm tra và cài đặt thủ công bản vá. Microsoft cho biết hiện chưa phát hiện lỗi đã biết nào liên quan đến bản cập nhật này.
Bản vá quan trọng nhất trong đợt này tập trung xử lý lỗ hổng PowerShell zero-day mã CVE-2025-54100. Đây là lỗ hổng thực thi mã từ xa (RCE), cho phép kẻ tấn công nhúng mã độc vào trang web và kích hoạt khi người dùng sử dụng lệnh Invoke-WebRequest để tải nội dung.
Do PowerShell 5.1 là phiên bản mặc định của Windows 10, lỗ hổng này đặc biệt nguy hiểm với người dùng thường xuyên xử lý nội dung web qua dòng lệnh. Để khắc phục triệt để, Microsoft đã điều chỉnh cơ chế thực thi của lệnh Invoke-WebRequest.
Hiện tại, khi người dùng chạy script có chứa lệnh này, PowerShell 5.1 sẽ hiển thị cảnh báo bảo mật, thông báo rằng nội dung script trong trang web có thể được thực thi trong quá trình phân tích, và yêu cầu người dùng xác nhận có tiếp tục hay không. Microsoft khuyến nghị mạnh mẽ rằng khi xử lý các trang web không đáng tin cậy, người dùng nên thêm tham số -UseBasicParsing để ngăn hệ thống phân tích và chạy mã script nhúng.
support.microsoft.com
Đối với những người đang sử dụng Windows 10 Enterprise LTSC hoặc đã đăng ký chương trình Extended Security Updates (ESU), hệ thống sẽ tự động tải về bản cập nhật sau khi phát hiện và yêu cầu khởi động lại máy.
Sau khi cài đặt hoàn tất, phiên bản Windows 10 sẽ được nâng lên Build 19045.6691, còn Windows 10 Enterprise LTSC 2021 sẽ được cập nhật lên Build 19044.6691. Người dùng có thể vào Settings → Windows Update → Check for updates để kiểm tra và cài đặt thủ công bản vá. Microsoft cho biết hiện chưa phát hiện lỗi đã biết nào liên quan đến bản cập nhật này.
Bản vá quan trọng nhất trong đợt này tập trung xử lý lỗ hổng PowerShell zero-day mã CVE-2025-54100. Đây là lỗ hổng thực thi mã từ xa (RCE), cho phép kẻ tấn công nhúng mã độc vào trang web và kích hoạt khi người dùng sử dụng lệnh Invoke-WebRequest để tải nội dung.
Do PowerShell 5.1 là phiên bản mặc định của Windows 10, lỗ hổng này đặc biệt nguy hiểm với người dùng thường xuyên xử lý nội dung web qua dòng lệnh. Để khắc phục triệt để, Microsoft đã điều chỉnh cơ chế thực thi của lệnh Invoke-WebRequest.
Hiện tại, khi người dùng chạy script có chứa lệnh này, PowerShell 5.1 sẽ hiển thị cảnh báo bảo mật, thông báo rằng nội dung script trong trang web có thể được thực thi trong quá trình phân tích, và yêu cầu người dùng xác nhận có tiếp tục hay không. Microsoft khuyến nghị mạnh mẽ rằng khi xử lý các trang web không đáng tin cậy, người dùng nên thêm tham số -UseBasicParsing để ngăn hệ thống phân tích và chạy mã script nhúng.
PowerShell 5.1: Preventing script execution from web content - Microsoft Support
support.microsoft.com
