Node.js vá 16 lỗ hổng, bao gồm lỗi HTTP/2 gây sập server
"Node.js released updates (22.23.5, 24.22.3, and 26.13.1) to address 16 vulnerabilities, including critical flaws in HTTP/2 and HTTPS servers (CVE-2026-123863, CVE-2026-123866, CVE-2026-123864). These flaws can lead to server crashes, memory leaks (potentially including sensitive data), and remote code execution. Updating to the latest version is the recommended mitigation."
Các lỗ hổng này có thể dẫn đến sập server, rò rỉ dữ liệu và thực thi mã từ xa, gây ảnh hưởng nghiêm trọng đến tính bảo mật của hệ thống.
Việc khai thác các lỗ hổng này có thể gây gián đoạn dịch vụ, mất dữ liệu và thiệt hại uy tín cho doanh nghiệp. Chi phí khắc phục và phục hồi cũng có thể đáng kể.
Node.js phát hành các bản cập nhật (22.23.5, 24.22.3 và 26.13.1) để khắc phục 16 lỗ hổng bảo mật, trong đó có các lỗi nghiêm trọng trong HTTP/2 và HTTPS server (CVE-2026-123863, CVE-2026-123866, CVE-2026-123864). Các lỗi này có thể dẫn đến sập server, rò rỉ bộ nhớ (tiềm ẩn dữ liệu nhạy cảm) và thực thi mã từ xa.
Với các doanh nghiệp Việt Nam đang sử dụng Node.js cho các ứng dụng web hoặc API, việc cập nhật lên phiên bản mới nhất là cần thiết để giảm thiểu rủi ro. Các lỗ hổng này có thể bị khai thác để tấn công từ chối dịch vụ (DoS) hoặc đánh cắp dữ liệu.
Lỗi CVE-2026-123863 cho phép kẻ tấn công làm sập server HTTP/2 chỉ bằng cách gửi yêu cầu trước khi server nhận đủ dữ liệu. Lỗi CVE-2026-123866 có thể khiến server gửi thông tin bộ nhớ, bao gồm cả dữ liệu của các kết nối khác, cho client. Lỗi CVE-2026-123864 cho phép client đọc bộ nhớ của server HTTPS, thậm chí cả khóa TLS và yêu cầu của người dùng khác.
Ngoài ra, còn có các lỗ hổng khác liên quan đến việc sử dụng bộ nhớ và file descriptors quá mức (CVE-2026-123865), lỗi trong quá trình tải file (CVE-2026-123874, CVE-2026-123875), và các vấn đề liên quan đến TLS (CVE-2026-126051, CVE-2026-123872). Chi tiết về các lỗ hổng này có tại https://therecord.media/nodejs-fixes-16-flaws.
Bản vá này không áp dụng cho các phiên bản Node.js đã ngừng hỗ trợ như 20.x và 25.x. Hiện tại, chưa có thông tin về các cuộc tấn công đang khai thác các lỗ hổng này.
Câu hỏi thường gặp
CVE-2026-123863 là gì?
CVE-2026-123863 là một lỗ hổng trong HTTP/2 server của Node.js cho phép kẻ tấn công làm sập server bằng cách gửi yêu cầu trước khi server nhận đủ dữ liệu.
Lỗ hổng CVE-2026-123866 có thể gây ra hậu quả gì?
CVE-2026-123866 có thể khiến server gửi thông tin bộ nhớ, bao gồm cả dữ liệu của các kết nối khác, cho client. Điều này có thể dẫn đến rò rỉ thông tin nhạy cảm.
Các phiên bản Node.js nào bị ảnh hưởng?
Các phiên bản Node.js 22.x, 24.x và 26.x đều bị ảnh hưởng bởi các lỗ hổng này. Các phiên bản 20.x và 25.x đã ngừng hỗ trợ và không nhận được bản vá.
Góc nhìn của Orange Cloud
Theo chúng tôi, các lỗ hổng này đặc biệt quan trọng đối với các doanh nghiệp Việt Nam sử dụng Node.js cho các ứng dụng hướng đến người dùng cuối. Việc cập nhật lên phiên bản mới nhất là cần thiết để bảo vệ dữ liệu và đảm bảo tính ổn định của hệ thống. Điều đáng chú ý là các lỗ hổng liên quan đến rò rỉ bộ nhớ có thể dẫn đến lộ thông tin nhạy cảm, do đó cần ưu tiên khắc phục.