Node.js phát hành bản vá khẩn cấp cho 10 lỗ hổng bảo mật nghiêm trọng (CVE-2026-111497...)

Phạm vi ảnh hưởng: Các phiên bản Node.js 26.x, 24.x và 22.x đều bị ảnh hưởng bởi nhiều lỗ hổng bảo mật nghiêm trọng.
Rủi ro cao nhất: Lỗ hổng CVE-2026-111497 trong bộ giải mã Brotli có thể dẫn đến thực thi mã từ xa (RCE).
Các vấn đề khác: Các lỗ hổng liên quan đến xác thực TLS, xử lý DNS và bypass mô hình quyền hạn (Permission Model).
Khuyến nghị: Quản trị viên cần cập nhật ngay lên các phiên bản 26.12.1, 24.22.1 và 22.23.4 để đảm bảo an toàn hệ thống.

Nhóm phát triển Node.js vừa chính thức phát hành các bản cập nhật bảo mật quan trọng cho ba nhánh sản phẩm chính là 26.x, 24.x và 22.x. Đợt cập nhật này nhằm giải quyết tổng cộng 10 lỗ hổng bảo mật, trong đó có bốn lỗ hổng được xếp hạng mức độ nghiêm trọng cao (High-Severity), ảnh hưởng trực tiếp đến các cơ chế tra cứu DNS, kiểm tra chứng chỉ TLS và giải nén dữ liệu Brotli.

Chi tiết các lỗ hổng bảo mật nghiêm trọng

Đáng chú ý nhất trong đợt cập nhật này là lỗ hổng CVE-2026-111497, một lỗi ghi ngoài phạm vi (out-of-bounds write) trong bộ giải mã Brotli. Lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa (RCE) khi ứng dụng xử lý các nội dung nén Brotli không đáng tin cậy. Đây là mối đe dọa trực tiếp đến tính toàn vẹn và bảo mật của các ứng dụng Node.js hiện đại.

Bên cạnh đó, các lỗ hổng liên quan đến xác thực TLS cũng chiếm tỷ trọng lớn. Cụ thể, CVE-2026-105483 cho phép kẻ tấn công vượt qua kiểm tra hostname khi sử dụng địa chỉ IP với định dạng chữ số full-width. Tương tự, CVE-2026-106069 liên quan đến việc phân giải hostname không chính xác, gây ra rủi ro trong việc xác thực chứng chỉ đích.

Bảng tổng hợp các lỗ hổng bảo mật

CVE ID	Mức độ	Loại lỗ hổng	Phiên bản ảnh hưởng
CVE-2026-105482	High	DNS name truncation	26.x, 24.x, 22.x
CVE-2026-105483	High	TLS hostname verification bypass	26.x, 24.x
CVE-2026-106069	High	TLS hostname verification bypass	26.x, 24.x, 22.x
CVE-2026-111497	High	Brotli decoder RCE	26.x, 24.x, 22.x
CVE-2026-105481	Medium	HTTP request-response ordering	26.x, 24.x, 22.x
CVE-2026-106072	Medium	Improper TLS hostname validation	26.x, 24.x, 22.x
CVE-2026-106074	Medium	Repeated cryptographic random values	26.x, 24.x, 22.x
CVE-2026-106070	Low	ZIP validation failure	26.x
CVE-2026-106071	Low	Permission Model bypass	26.x
CVE-2026-106073	Low	fs.realpathSync permission bypass	26.x, 24.x, 22.x

Phân tích các rủi ro trung bình và thấp

Ngoài các lỗ hổng nghiêm trọng, các nhà nghiên cứu bảo mật cũng chỉ ra các vấn đề ở mức độ trung bình như CVE-2026-105481, cho phép socket keep-alive xử lý phản hồi trước khi yêu cầu được gửi đi. Đặc biệt, CVE-2026-106074 gây ra việc lặp lại các giá trị ngẫu nhiên trong crypto.randomUUID() và crypto.randomInt(), ảnh hưởng đến tính bảo mật của các ứng dụng sử dụng snapshot khởi động.

Các lỗ hổng mức độ thấp bao gồm CVE-2026-106070 (lỗi xác thực ZIP), CVE-2026-106071 và CVE-2026-106073 (bypass Permission Model). Những lỗ hổng này, dù có mức độ ưu tiên thấp hơn, vẫn có thể bị khai thác để leo thang đặc quyền hoặc truy cập trái phép vào hệ thống tệp tin nếu không được vá kịp thời.

Khuyến nghị phòng thủ và khắc phục

Để giảm thiểu rủi ro, quản trị viên hệ thống cần thực hiện các bước sau:

Cập nhật phiên bản: Nâng cấp ngay lập tức lên các phiên bản đã được vá lỗi: 26.12.1, 24.22.1, và 22.23.4.
Kiểm tra ứng dụng: Thực hiện kiểm thử lại các kết nối HTTPS, quy trình xử lý DNS và các tác vụ liên quan đến nén dữ liệu.
Rà soát quyền hạn: Đối với các ứng dụng sử dụng Permission Model, cần kiểm tra kỹ các cấu hình filesystem để tránh bị bypass thông qua các hàm như fs.realpathSync.
Di chuyển nhánh hỗ trợ: Các phiên bản đã kết thúc vòng đời (EOL) sẽ không nhận được bản vá, do đó việc di chuyển sang các nhánh được hỗ trợ là yêu cầu bắt buộc để đảm bảo an toàn thông tin.

Người dùng có thể tham khảo thêm thông tin chi tiết tại Node.js Security Announcements để cập nhật các hướng dẫn kỹ thuật mới nhất từ dự án.