Thủ phạm là kỹ thuật nén của Google…Lỗ hổng Node.js, "HTTP2Shell" lan tỏa khắp web toàn cầu
Tuần trước, bản vá bảo mật Node.js đã khuấy động các quản trị viên máy chủ trên toàn thế giới, và nguyên nhân thực sự được xác nhận là công nghệ nén dữ liệu "Brotli" do Google tạo ra. Khi cùng một lỗ hổng lan sang Python, phần mềm chuyển tiếp giao tiếp web Envoy, và môi trường thực thi JavaScript Bun, cộng đồng bảo mật đã đặt tên cho sự kiện này là "HTTP2Shell". Một lỗ hổng trong một bộ phận nén duy nhất đã lan tỏa khắp toàn bộ web.
Brotli là công nghệ nén giúp giảm dung lượng trang web và dữ liệu để truyền nhanh hơn, được nhúng như một bộ phận vào nhiều phần mềm khác nhau. Lỗ hổng được đề cập (CVE-2026-111497, mức độ nguy hiểm 9.2) xảy ra trong quá trình giải nén khi dữ liệu bị thao tác không được lọc ra, dẫn đến ghi dữ liệu vượt quá phạm vi bộ nhớ được phép, có thể gây ra sự cố máy chủ, rò rỉ thông tin, và trong những điều kiện nhất định, có thể dẫn đến thực thi mã từ xa.
Đường lây lan đã được vẽ ra trong vòng bốn ngày. Vào ngày 21, khi Node.js phát hành bản vá được gọi là "Node2Shell", lỗ hổng này cũng được xác nhận vào ngày 22 trong thư viện Brotli cho Python, và vào ngày 23, công ty bảo mật Aikido Security đã xác nhận đây là vấn đề chung của toàn bộ phần mềm giao tiếp HTTP, dẫn đến việc được đổi tên thành "HTTP2Shell". Các phiên bản bị ảnh hưởng bao gồm thư viện Brotli gốc (phiên bản 1.2.1 đã sửa), Node.js (22.23.4, 24.22.1, 26.12.1), Python Brotli và brotlicffi (1.2.1), Bun (1.4.4), Envoy (1.40.0 vv). Thậm chí những nhà phát triển không sử dụng trực tiếp Brotli cũng có thể bị ảnh hưởng thông qua phần mềm có nhúng bộ phận này. Tuy nhiên, cấu hình mặc định của máy chủ web nginx và Apache nằm ngoài phạm vi ảnh hưởng.
Phần đau lòng hơn là lỗ hổng này đã được phát hiện cách đây 8 tháng. Nhóm bảo mật của OpenAI (Codex Security) đã phát hiện lỗ hổng vào tháng 2 và báo cáo cho Google, Google đã sửa mã nguồn vào ngày 27 tháng 2. Tuy nhiên, họ không nhận ra đây là lỗ hổng bảo mật và không phát hành phiên bản sửa chữa một cách chính thức. Trong 8 tháng tiếp theo, không có phiên bản Brotli mới nào được phát hành, và các bản sao nhúng trong phần mềm trên toàn thế giới đã tiếp tục hoạt động ở trạng thái dễ bị tấn công mặc dù đã có mã sửa chữa. Sự khác biệt giữa sửa chữa và phát hành đã phơi bày những lỗ hổng cấu trúc của chuỗi cung ứng mã nguồn mở.
May mắn là chưa có bằng chứng về các cuộc tấn công thực tế. Tính đến ngày 24, không có báo cáo khai thác trong môi trường thực tế, và chúng không có trong danh sách các lỗ hổng bị khai thác của Cơ quan An ninh Mạng Hoa Kỳ (CISA). Hiện tại chỉ ở giai đoạn thí nghiệm trong phòng thí nghiệm của các công ty bảo mật. Ở điểm này, nó khác với "PHP2Shell" tuần trước. PHP2Shell, một lỗ hổng trong chính công cụ PHP, là một sự kiện riêng biệt với những nỗ lực tấn công thực tế được phát hiện ngay cả trước khi công bố, hai sự kiện này chỉ có điểm chung là xảy ra trong cùng một tuần và cách đặt tên "X2Shell".
Có những khoảng trống trong ứng phó trong nước. Viện Thúc đẩy Thông tin Nước ngoài Hàn Quốc (KISA) đã đưa ra khuyến cáo cập nhật Node.js vào ngày 23, nhưng cho đến ngày 25, chưa có thông báo riêng về thư viện Brotli gốc và các phạm vi ảnh hưởng khác như Python và Envoy. Những người vận hành nên an toàn hơn nếu tự kiểm tra liệu phần mềm họ sử dụng có nhúng Brotli và phiên bản của nó thay vì chờ thông báo.
Trong vòng một tuần: PHP, Node.js, và Brotli ở gốc rễ của nó. Bài học mà "tuần bảo mật" này để lại là rõ ràng. Web được xây dựng trên một số ít bộ phận chung, và một lỗ hổng trong một bộ phận đó cùng với một lần bỏ quên phát hành có thể lay động toàn bộ hệ thống. Bản vá nhanh, nhưng lỗ hổng tiếp theo có thể đang ngủ trong bộ phận nào đó trong 8 tháng nữa.