PHP và sau đó là Node.js…'Tuần bảo mật cơ sở hạ tầng web' chồng chéo trong một tuần

Sau PHP, giờ đến Node.js. Hai công nghệ nền tảng web hàng đầu thế giới cùng phát hành các bản vá bảo mật khẩn cấp trong cùng một tuần. Dự án Node.js công bố bản phát hành bảo mật vào ngày 21 tháng trước (giờ địa phương) và cho biết đã sửa chữa 10 lỗ hổng bao gồm khả năng thực thi mã từ xa. Đó chính là ngày bản vá 'PHP2Shell' được phát hành.

Node.js là một trong những môi trường thực thi phổ biến nhất được sử dụng để xây dựng máy chủ xử lý dữ liệu phía sau màn hình trang web, hay còn gọi là backend. Hầu hết các máy chủ API và dịch vụ web của các công ty khởi nghiệp trong nước và nước ngoài hoạt động trên nền tảng này. Đó là lý do tại sao tác động của bản vá này lớn như vụ PHP.

Trong số các lỗ hổng được sửa chữa, có 4 lỗi có mức độ nguy hiểm 'cao'. Lỗi đáng chú ý nhất là một khiếm khuyết trong việc giải nén dữ liệu nén (Brotli) vượt ra ngoài phạm vi bộ nhớ ghi (CVE-2026-111497), nếu máy chủ xử lý dữ liệu nén được gửi từ bên ngoài, có thể dẫn đến thực thi mã từ xa. Hai lỗi khác cho phép bỏ qua xác minh chứng chỉ liên lạc bảo mật (TLS) cũng đã được sửa chữa. Đây là lỗ hổng cho phép máy chủ giả mạo có thể giả dạng thành máy chủ thực khi địa chỉ IP được viết bằng số chiều rộng đầy đủ hoặc tên máy chủ được giải thích một cách lỏng lẻo thành IP. Ngoài ra còn có lỗi xử lý không chính xác địa chỉ khi tên DNS chứa ký tự đặc biệt (NUL), tất cả bốn lỗi đều nhắm vào đầu nối giao tiếp giữa máy chủ và bên ngoài.

Ngoài ra, còn có 2 lỗi hạng trung bình bao gồm lỗi xử lý duy trì kết nối HTTP và lỗi số ngẫu nhiên mật mã có thể lặp lại, cùng với 4 lỗi hạng thấp được sửa chữa, đồng thời cập nhật bảo mật của các thành phần cốt lõi kèm theo Node.js như OpenSSL, c-ares, SQLite và Undici cũng được bao gồm.

Cách ứng phó rất đơn giản. Các bản vá là phiên bản 26.12.1, 24.22.1, 22.23.4, quản trị viên máy chủ có thể cập nhật lên bản vá phù hợp với họ phiên bản đang sử dụng và khởi động lại dịch vụ. Nếu đang sử dụng phiên bản cũ không được hỗ trợ (20 trở xuống), cách xử lý cơ bản là nâng cấp lên phiên bản được hỗ trợ. Bước đầu tiên là kiểm tra phiên bản bằng một dòng lệnh (node -v).

Khi PHP và Node.js liên tiếp gặp vấn đề trong một tuần, ngành bảo mật gọi tuần này là 'Tuần bảo mật cơ sở hạ tầng web'. Vì các công nghệ mã nguồn mở lập nên nền tảng web được sử dụng miễn phí, nên theo dõi các bản vá là khoản phí sử dụng duy nhất. Như vụ PHP2Shell đã chứng minh, một khi lỗ hổng được công bố, nó sẽ nằm trong lịch trình của các kẻ tấn công.