Tin công nghệ

Node.js vá 10 lỗ hổng, có lỗi thực thi mã từ xa qua Brotli: máy chủ doanh nghiệp cần nâng cấp trước 28/10

Posted on by superadmin

Sau đợt vá khẩn cấp của PHP, đến lượt Node.js, nền tảng chạy rất nhiều website, API, ứng dụng nội bộ và công cụ tự động hóa tại doanh nghiệp, phát hành bản cập nhật bảo mật cho cả ba nhánh đang được hỗ trợ. Bản vá ra ngày 21/10/2026 và được các hãng bảo mật phân tích chi tiết trong ngày 23/10, xử lý tổng cộng 10 lỗ hổng: 4 mức Cao, 3 mức Trung bình và 3 mức Thấp.

Lỗ hổng nghiêm trọng nhất: Brotli

Lỗi đáng chú ý nhất là CVE-2026-111497 trong bộ giải nén Brotli tích hợp sẵn trong mô-đun zlib của Node.js. Một luồng dữ liệu Brotli được tạo có chủ đích có thể gây ghi tràn bộ nhớ, và Node.js xếp lỗi này vào loại có khả năng thực thi mã từ xa. Mọi dịch vụ nhận và giải nén dữ liệu nén Brotli từ nguồn không tin cậy (API nhận file, proxy, dịch vụ xử lý tải lên) đều thuộc diện rủi ro.

Các lỗi đáng lưu ý khác

  • DNS (CVE-2026-105482): ký tự NUL chèn trong tên miền có thể làm cắt ngắn tên khi gọi các hàm dns.resolve, dẫn tới truy vấn sai đích.
  • TLS (CVE-2026-106069, CVE-2026-106072, CVE-2026-105483): khi kết nối tới địa chỉ IP viết ở dạng không chuẩn (hoặc dùng chữ số Unicode toàn chiều rộng), bước kiểm tra chứng chỉ có thể chấp nhận chứng chỉ của một máy chủ khác, mở đường cho tấn công giả mạo.
  • Các lỗi mức thấp hơn trong HTTP, crypto, ZipFile và Permission Model.

Bản phát hành này cũng loại bỏ tin cậy với một số chứng chỉ trung gian của nhà cung cấp chứng thư eMudhra sau sự cố lộ khóa riêng.

Phiên bản cần cài

  • Nhánh 22.x: nâng lên 22.23.4
  • Nhánh 24.x: nâng lên 24.22.1
  • Nhánh 26.x: nâng lên 26.12.1
  • Các nhánh 25.x, 23.x, 21.x không có bản vá; nhánh 20.x trở về trước đã hết hỗ trợ. Cần chuyển hẳn lên nhánh còn hỗ trợ.

Node.js 26 sẽ trở thành bản hỗ trợ dài hạn (LTS) từ ngày 28/10/2026, nên đây là thời điểm hợp lý để chuẩn hóa máy chủ về nhánh 26.

Doanh nghiệp Việt Nam nên làm gì?

  1. Kiểm kê nơi đang chạy Node.js: không chỉ máy chủ web mà còn container Docker, ứng dụng đóng gói dạng file chạy đơn lẻ, phần mềm quản lý do đối tác cài đặt, công cụ build trên máy lập trình viên. Lệnh node -v cho biết phiên bản hiện tại.
  2. Nâng cấp runtime lên các phiên bản trên. Node.js không công bố biện pháp tạm thời thay thế; nâng cấp là cách khắc phục duy nhất đầy đủ.
  3. Đóng gói lại image và khởi động lại dịch vụ sau khi nâng cấp, vì tiến trình đang chạy vẫn dùng mã cũ.
  4. Biện pháp tạm thời nếu chưa thể nâng cấp ngay: hạn chế giải nén dữ liệu Brotli từ bên ngoài, giới hạn kích thước gói tin ở proxy hoặc WAF, chuẩn hóa địa chỉ IP trước khi kết nối TLS.
  5. Yêu cầu nhà cung cấp phần mềm (nếu ứng dụng do bên thứ ba phát triển) xác nhận lịch cập nhật bằng văn bản.

Góc nhìn

Tháng 10/2026 đang là tháng dày đặc bản vá: PHP, NGINX, Microsoft với hơn 1.400 lỗ hổng trong một kỳ Patch Tuesday, và nay là Node.js. Nguyên nhân một phần đến từ việc các công cụ AI giúp tìm lỗi nhanh hơn nhiều so với trước. Với doanh nghiệp nhỏ không có đội IT riêng, cần một quy trình cập nhật định kỳ hằng tuần và sao lưu trước mỗi lần nâng cấp, thay vì chỉ xử lý khi có sự cố. Máy chủ cũ chạy hệ điều hành hết hỗ trợ cũng nên được lên kế hoạch thay thế.

DTIC cung cấp máy chủ, máy trạm và mini PC chính hãng cho doanh nghiệp, kèm dịch vụ thuê IT hỗ trợ cập nhật và bảo trì hệ thống. Tham khảo tại danh mục Máy chủ – Máy trạm – Mini PC hoặc gọi Hotline/Zalo 0913.745.698.

Nguồn tham khảo