PHP vừa bị cắn và Node.JS hôm nay cũng thế
PHP, hôm qua vừa công bố 2 lỗ hổng bảo mật CVE-2026-109618 và CVE-2026-109619. Hôm nay đến Node.js những mã khác 1 tí =)))) (Và chuyện về tên miền của VNNIC hôm nay)
@huynhduc27760Như anh em đã biết, PHP hôm qua vừa công bố 2 lỗ hổng bảo mật CVE-2026-109618 và CVE-2026-109619 có nguy cơ cho phép kẻ xấu thực thi mã độc từ xa, ảnh hưởng đến bảo mật website và server.
Hôm nay đến Node.js =))))
Bài viết bảo mật October 2026 Security Releases của Node.js công bố đợt vá bảo mật khẩn cấp cho các phiên bản 22.x, 24.x và 26.x, tập trung vào các nội dung chính sau:
1. Lỗ hổng nghiêm trọng nhất: RCE qua bộ giải mã BrBotli
Mã lỗi: CVE-2026-111497 (Mức độ: High)
Bản chất: Lỗi ghi tràn bộ nhớ đệm (Out-of-bounds write) nằm trong thư viện giải nén Brotli được đóng gói mặc định bên trong Node.js.
Kịch bản tấn công: Khi server Node.js hoặc thư viện HTTP nhận/xử lý một luồng dữ liệu nén Brotli từ người dùng hoặc API bên ngoài (ví dụ header Content-Encoding: br), kẻ tấn công có thể chèn payload dị dạng để làm sập server, rò rỉ bộ nhớ hoặc thực thi mã độc từ xa (RCE).
2. Các lỗ hổng bảo mật mạng & TLS khác:
Vượt qua kiểm tra Hostname/IP trong TLS: Lỗi xử lý các ký tự đặc biệt (như số full-width Unicode trong địa chỉ IP hoặc định dạng hostname lỏng lẻo), khiến chứng chỉ SSL/TLS bị chấp nhận sai lệch, có nguy cơ bị tấn công Man-in-the-Middle (MitM).
Cắt ngắn tên miền trong DNS Lookup: Hàm dns.resolve bị lỗi cắt ngắn chuỗi tên miền nếu có ký tự NUL (\0), dẫn đến phân giải sai địa chỉ đích.
Cập nhật danh sách chứng chỉ: Thu hồi/chặn các root certificate bị thỏa hiệp bảo mật (như eMudhra).
3. Khuyến cáo từ Node.JS
Node.js khuyến cáo nâng cấp ngay lập tức lên các bản vá tối thiểu:
Nhánh 24.x: Lên v24.22.1
Nhánh 26.x: Lên v26.12.1
Nhánh 22.x: Lên v22.23.4
Còn vấn đề ở Việt Nam, theo kế hoạch của ICANN/IANA, ngày 11/10//2026, hệ thống DNS Root sẽ thực hiện chuyển đổi khoá ký DNSSEC từ KSK-2017 sang KSK-2024 (Key tag: 38696)
Việc chuyển đổi ảnh hưởng đến các hệ thống DNS Resolver đã bật xác thực DNSSEC Validation nhưng chưa cập nhật hoặc không có cơ chế tự động cập nhật Trust Anchor để thiết lập tin cậy đối với KSK-2024. Website nào lỗi thì VNNIC sẽ khắc phục sớm nhất có thể cho người dùng.
Đang tải bình luận…