News

Cảnh báo bảo mật PHP và Node.js tháng 10/2026: Lỗ hổng nghiêm trọng và khuyến nghị cập nhật

Ngày 21/10/2026, PHP và Node.js đồng loạt công bố các bản cập nhật bảo mật nhằm khắc phục nhiều lỗ hổng có mức độ nghiêm trọng cao, ảnh hưởng đến các hệ thống website, ứng dụng web và dịch vụ backend.

Đáng chú ý, PHP ghi nhận hai lỗ hổng Critical có khả năng dẫn đến thực thi mã từ xa (Remote Code Execution – RCE) mà không cần xác thực. Trong khi đó, Node.js cũng phát hành bản vá cho các vấn đề liên quan đến Brotli, DNS và xác minh chứng chỉ TLS.

Trước những cảnh báo này, KaiyouIT khuyến nghị các doanh nghiệp đang sử dụng PHP hoặc Node.js nhanh chóng kiểm tra phiên bản vận hành và xây dựng kế hoạch cập nhật phù hợp.

1. PHP: Hai lỗ hổng Critical có nguy cơ thực thi mã từ xa

PHP đã công bố hai lỗ hổng nghiêm trọng:

• CVE-2026-109618 – Critical (CVSS 9.2): Lỗi xử lý bộ nhớ khi xảy ra tình trạng hết bộ nhớ (Out-of-Memory), có thể dẫn đến memory corruption và thực thi mã từ xa.
• CVE-2026-109619 – Critical (CVSS 9.2): Lỗi liên quan đến trạng thái nội bộ không hợp lệ sau khi bộ nhớ được giải phóng, có thể dẫn đến use-after-free và thực thi mã từ xa.

Các lỗ hổng này tồn tại trong PHP runtime, không chỉ giới hạn ở một framework hoặc ứng dụng cụ thể.

Theo PHP Security Team, những hệ thống xử lý yêu cầu web như PHP-FPM, Apache mod_php, php-cgi, FrankenPHP và LiteSpeed đều cần được kiểm tra. Đặc biệt, môi trường sử dụng Apache mod_php được đánh giá có nguy cơ cao.

Các phiên bản PHP đã được khắc phục

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Các phiên bản thấp hơn bản vá tương ứng có nguy cơ bị ảnh hưởng.

Đối với PHP 8.1 trở xuống, do đã hết thời gian hỗ trợ chính thức, doanh nghiệp nên nâng cấp lên phiên bản còn được hỗ trợ hoặc kiểm tra bản vá bảo mật do nhà cung cấp hệ điều hành phát hành.

Lưu ý: PHP xác nhận rằng các biện pháp giảm thiểu tạm thời không thể thay thế hoàn toàn việc cập nhật bản vá.

2. Node.js: Nhiều lỗ hổng bảo mật mức High

Cũng trong ngày 21/10/2026, Node.js công bố các bản cập nhật bảo mật dành cho các nhánh 22.x, 24.x và 26.x.

Các vấn đề đáng chú ý bao gồm:

CVE-2026-111497 – High: Lỗi Brotli Decoder

Lỗ hổng ghi dữ liệu vượt giới hạn bộ nhớ (Out-of-Bounds Write) trong bộ giải mã Brotli có khả năng dẫn đến thực thi mã từ xa trong những điều kiện khai thác phù hợp.

Lỗi ảnh hưởng đến Node.js 22.x, 24.x và 26.x.

CVE-2026-105482 – High: Lỗi xử lý DNS

Khi hostname chứa ký tự NUL, hàm dns.resolve() có thể xử lý tên miền không đúng với dữ liệu đầu vào ban đầu.

Điều này tiềm ẩn rủi ro đối với các ứng dụng thực hiện DNS lookup dựa trên dữ liệu từ bên ngoài.

Lỗi ảnh hưởng đến Node.js 22.x, 24.x và 26.x.

CVE-2026-105483 – High: Lỗi xác minh chứng chỉ TLS

Node.js có thể xử lý không chính xác địa chỉ IP được biểu diễn bằng ký tự số dạng fullwidth, ảnh hưởng đến quá trình đối chiếu hostname và chứng chỉ TLS.

Lỗi ảnh hưởng đến Node.js 24.x và 26.x.

CVE-2026-106069 – High: Lỗi xác thực hostname TLS

Việc diễn giải một số hostname không theo định dạng IP chuẩn có thể dẫn đến sai lệch trong quá trình xác minh danh tính máy chủ.

Lỗi ảnh hưởng đến Node.js 22.x, 24.x và 26.x.

Các phiên bản Node.js đã được cập nhật

• Node.js 26.12.1
• Node.js 24.22.1 (LTS)
• Node.js 22.23.4 (LTS)

Doanh nghiệp nên cập nhật lên phiên bản đã vá tương ứng với nhánh hiện đang vận hành.

3. Những hệ thống doanh nghiệp cần ưu tiên kiểm tra

Những hệ thống sau cần được đưa vào phạm vi rà soát:

• Website doanh nghiệp và các hệ thống CMS như WordPress sử dụng PHP.
• Hệ thống thương mại điện tử và quản lý đơn hàng.
• Web Application và hệ thống quản lý nội bộ.
• Backend API và các dịch vụ xây dựng trên Node.js.
• Hệ thống chạy trên VPS, máy chủ riêng hoặc nền tảng Cloud.
• Các ứng dụng triển khai qua Docker hoặc Kubernetes.

Ngay cả khi mã nguồn ứng dụng không có thay đổi, hệ thống vẫn có thể tồn tại lỗ hổng nếu phiên bản runtime chưa được cập nhật.

4. KaiyouIT khuyến nghị doanh nghiệp thực hiện những gì?

Để hạn chế rủi ro bảo mật, KaiyouIT khuyến nghị các doanh nghiệp triển khai các biện pháp sau:

Bước 1: Kiểm tra phiên bản hiện tại

Rà soát phiên bản PHP và Node.js trên toàn bộ môi trường production, staging và các container đang hoạt động.

Bước 2: Đánh giá mức độ ảnh hưởng

Ưu tiên những hệ thống có thể truy cập từ Internet, đặc biệt là các hệ thống xử lý thông tin khách hàng, dữ liệu kinh doanh và giao dịch.

Bước 3: Sao lưu và cập nhật bản vá

Thực hiện sao lưu dữ liệu, cập nhật phiên bản runtime đã được khắc phục và kiểm tra khả năng tương thích với ứng dụng hiện tại.

Bước 4: Kiểm thử sau cập nhật

Thực hiện regression test, kiểm tra các API, chức năng quan trọng và theo dõi log nhằm phát hiện những bất thường.

Bước 5: Xây dựng quy trình quản lý bảo mật định kỳ

Thiết lập hoạt động rà soát phiên bản, theo dõi cảnh báo CVE và cập nhật bảo mật theo chu kỳ nhằm hạn chế rủi ro phát sinh trong tương lai.

5. Bảo mật không chỉ nằm ở mã nguồn ứng dụng

Các lỗ hổng PHP và Node.js lần này tiếp tục cho thấy tầm quan trọng của việc quản lý bảo mật ở cấp độ nền tảng.

Một ứng dụng được phát triển đúng quy trình vẫn có thể gặp rủi ro nếu PHP runtime, Node.js, thư viện phụ thuộc hoặc các thành phần hạ tầng không được cập nhật kịp thời.

Tại KaiyouIT, chúng tôi coi việc quản lý chất lượng, bảo mật và khả năng vận hành ổn định là những yếu tố quan trọng trong quá trình phát triển phần mềm.

Bên cạnh việc ứng dụng AI nhằm hỗ trợ nâng cao hiệu suất phát triển, quá trình kiểm tra và đánh giá chất lượng vẫn cần được thực hiện bởi đội ngũ kỹ sư.

Kết luận

Các bản cập nhật bảo mật được công bố ngày 21/10/2026 là lời nhắc nhở quan trọng đối với doanh nghiệp đang vận hành hệ thống trên PHP và Node.js.

KaiyouIT khuyến nghị doanh nghiệp kiểm tra ngay phiên bản đang sử dụng và ưu tiên cập nhật các bản vá đã được công bố.

Việc chủ động phát hiện và xử lý lỗ hổng không chỉ giúp giảm thiểu nguy cơ bị tấn công mà còn góp phần bảo vệ dữ liệu khách hàng, duy trì hoạt động kinh doanh và xây dựng nền tảng công nghệ ổn định, lâu dài.

Nguồn tham khảo:

• PHP Security Advisory: https://www.php.net/
• Node.js Security Releases: https://nodejs.org/en/blog/vulnerability/october-2026-security-releases
• Google Cloud Security: https://cloud.google.com/blog/products/identity-security/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619