Phóng viên Minh Huệ tổng hợp đưa tin

[MINH HUỆ 27-10-2026] Trong tuần qua, toàn cầu đã phát đi một cảnh báo lớn về các lỗ hổng nghiêm trọng trong môi trường thực thi PHP, Node.js và Go. Đây là cuộc khủng hoảng an toàn thông tin toàn cầu nghiêm trọng đầu tiên kể từ khi năng lực tính toán và ứng dụng AI bùng nổ.

I. Tóm tắt nội dung chính

Kể từ ngày 21 tháng 10 (thứ Tư tuần trước), các cơ quan an ninh mạng trên toàn cầu và đơn vị chính thức phụ trách các ngôn ngữ lập trình lớn (PHP, Node.js) đã đồng loạt công bố những thông báo bảo mật nghiêm trọng liên quan đến môi trường thực thi (runtime) nền tảng. Các lỗ hổng này cho phép kẻ tấn công từ xa không được cấp quyền thực thi mã tùy ý (remote code execution, RCE) hoặc gây ra tình trạng từ chối dịch vụ (denial-of-service, DoS).

Do các lỗ hổng nằm trong lõi ngôn ngữ hoặc thư viện tích hợp, việc chỉ cập nhật ứng dụng giao diện hoặc các gói phần mềm (như plugin WordPress, gói npm) không thể giải quyết vấn đề; cần trực tiếp nâng cấp môi trường thực thi của hệ thống.

II. Sơ lược các lỗ hổng trong ba nhóm công nghệ chính

1. PHP: “PHP2Shell”

- Lỗ hổng thực thi mã từ xa: Mã định danh: CVE-2026-109618, CVE-2026-109619 (điểm CVSS 9,2, rủi ro cực cao).

- Bản chất lỗ hổng: Sai sót trong quản lý bộ nhớ ở tầng nền và xử lý trạng thái toàn cục. Khi hệ thống hết bộ nhớ (OOM) hoặc chuyển đổi giữa các yêu cầu, có thể xảy ra hỏng bộ nhớ hoặc tái sử dụng trạng thái còn sót lại.

Phạm vi ảnh hưởng: Tất cả các trang web và máy chủ PHP chưa được vá. Như vậy, kẻ tấn công có thể tiến hành tấn công mà không cần bất kỳ quyền truy cập nào.

2. Node.js:

Mã định danh các lỗ hổng trong bộ giải mã Brotli và bảo mật mạng: Bao gồm CVE-2026-111497 (ghi dữ liệu vượt giới hạn bộ nhớ trong Brotli) và nhiều lỗ hổng xác thực TLS/DNS.

- Bản chất lỗ hổng: Bộ giải mã dữ liệu nén Brotli tích hợp có lỗi ghi dữ liệu vượt giới hạn bộ nhớ; đồng thời tồn tại nguy cơ vượt qua cơ chế xác thực chứng chỉ (credential) và tên máy chủ.

- Phạm vi ảnh hưởng: Các dịch vụ Node.js xử lý dữ liệu nén Brotli không đáng tin cậy, các kết nối mạng ra bên ngoài và máy chủ proxy.

3. Lưu ý bảo mật đối với ngôn ngữ Go và các framework liên quan

- Bản chất lỗ hổng: Gần đây, các bản vá bảo mật đã liên tiếp được phát hành cho các giao thức mạng, thư viện chuẩn hoặc framework mã nguồn mở phổ biến liên quan (như một số proxy HTTP và giao diện quản trị mạng).

- Phạm vi ảnh hưởng: Các dịch vụ cloud-native sử dụng những phiên bản cụ thể của mô-đun Go hoặc các thành phần phụ thuộc.

III. Kêu gọi khẩn cấp về an toàn thông tin

- Tránh quan niệm sai lầm trước nay rằng chỉ cần kiểm tra các thành phần phụ thuộc: Các phương pháp kiểm tra sự phụ thuộc của gói phần mềm thông thường (như quét package.json hoặc composer.json) không thể phát hiện ra lỗ hổng trong chính môi trường thực thi. Cần kiểm kê các phiên bản runtime đang thực sự chạy trên máy chủ và trong container.

- Không sử dụng phiên bản đã ngừng hỗ trợ: Các phiên bản cũ đã hết vòng đời hỗ trợ (EOL), như phiên bản PHP cũ hoặc Node.js dưới phiên bản 20, sẽ không nhận được bản vá chính thức. Cần nâng cấp lên phiên bản chính mới hơn hoặc cô lập các môi trường này.

IV. Khuyến nghị hành động khẩn cấp cho đội ngũ kỹ thuật (các bước kiểm tra khi chỉ có hỗ trợ kỹ thuật tối thiểu)

Trong trường hợp nguồn lực hạn chế hoặc thiếu hỗ trợ kỹ thuật, hãy lần lượt thực hiện ba bước sau:

Bước 1: Kiểm kê nhanh tài sản (kiểm tra phiên bản)

Đăng nhập vào máy chủ hoặc container để xác định phiên bản môi trường thực thi đang chạy có nằm trong phạm vi rủi ro hay không:

- PHP: Kiểm tra xem phiên bản có thấp hơn phiên bản an toàn hay không (xem các phiên bản an toàn mục tiêu bên dưới). Lưu ý: Một số bản phân phối Linux áp dụng bản vá ngược (backport), nên số phiên bản có thể vẫn cũ nhưng lỗ hổng đã được khắc phục. Hãy đối chiếu thông báo chính thức hoặc nhật ký gói phần mềm.

- Node.js: Kiểm tra xem có đang sử dụng các phiên bản 22.x, 24.x hoặc 26.x bị ảnh hưởng bởi lỗ hổng hay không.

Bước 2: Nâng cấp phiên bản ngay lập tức

Hãy nâng cấp môi trường lên các phiên bản an toàn tương ứng dưới đây và khởi động lại các tiến trình dịch vụ (như PHP-FPM, ứng dụng Node) để xóa dữ liệu còn sót lại trong bộ nhớ:

Các phiên bản PHP an toàn mục tiêu:

  • Dòng PHP 8.5: nâng cấp lên 8.5.12 hoặc mới hơn.
  • Dòng PHP 8.4: nâng cấp lên 8.4.27 hoặc mới hơn.
  • Dòng PHP 8.3: nâng cấp lên 8.3.36 hoặc mới hơn.
  • Dòng PHP 8.2: nâng cấp lên 8.2.35 hoặc mới hơn.

Các phiên bản Node.js an toàn mục tiêu:

  • Node.js 22.x: nâng cấp lên 22.23.4 hoặc mới hơn.
  • Node.js 24.x: nâng cấp lên 24.22.1 hoặc mới hơn.
  • Node.js 26.x: nâng cấp lên 26.12.1 hoặc mới hơn.

Lưu ý: Node.js 20 và các phiên bản cũ hơn đã ngừng được hỗ trợ; cần nâng cấp sang nhánh còn được hỗ trợ càng sớm càng tốt.

Bước 3: Xây dựng lại container và image

Nếu sử dụng Docker hoặc container cloud-native, việc chỉ thay đổi thẻ (tag) là không đủ. Cần xây dựng lại image để bảo đảm các tệp runtime nền tảng được cập nhật, sau đó triển khai lại dịch vụ.

Kiểm tra WAF (tường lửa ứng dụng web) hoặc bộ cân bằng tải ở phía trước, xác nhận đã bật các quy tắc bảo vệ trước lưu lượng POST bất thường và các gói dữ liệu nén độc hại hay chưa.

Trên đây chỉ là phần tổng quan chung. Tùy theo tình hình cụ thể, nhân viên kỹ thuật vẫn cần khẩn trương kiểm tra môi trường và yêu cầu của mình, đồng thời thực hiện các hành động cần thiết để bảo đảm an toàn thông tin.

Bản quyền © 1999-2026 Minghui.org. Mọi quyền được bảo lưu.

Bản tiếng Hán: https://www.minghui.org/mh/articles/2026/10/27/515901.html

Bản tiếng Anh: https://en.minghui.org/html/articles/2026/10/28/236612.html