Trong thời gian gần đây, các dự án phát triển nền tảng Node.js và Next.js đã liên tiếp công bố các bản cập nhật bảo mật nhằm khắc phục nhiều lỗ hổng có mức độ ảnh hưởng từ trung bình đến nghiêm trọng. Những lỗ hổng này tiềm ẩn nguy cơ ảnh hưởng trực tiếp đến tính bảo mật, tính toàn vẹn và khả năng duy trì hoạt động ổn định của các hệ thống thông tin, ứng dụng web đang vận hành trên các nền tảng nói trên.
1. Các lỗ hổng bảo mật trong Node.js
Ngày 11/11/2026, dự án Node.js đã công bố bản cập nhật bảo mật cho các nhánh phiên bản 22.x, 24.x và 26.x, nhằm khắc phục nhiều lỗ hổng được đánh giá ở mức độ nghiêm trọng cao (High).
Một số lỗ hổng đáng chú ý bao gồm:
- CVE-2026-123863: Lỗ hổng trong quá trình xử lý phiên kết nối HTTP/2, cho phép đối tượng tấn công từ xa không cần xác thực làm dừng tiến trình máy chủ.
- CVE-2026-123864: Lỗ hổng trong quá trình xử lý HTTPS/TLS có thể dẫn đến việc tiết lộ dữ liệu bộ nhớ của các kết nối khác, bao gồm thông tin nhạy cảm.
- CVE-2026-123865: Lỗi quản lý phiên HTTP/2 có thể khiến tài nguyên bộ nhớ và bộ mô tả tệp không được giải phóng, gây tiêu hao tài nguyên máy chủ.
- CVE-2026-126051: Lỗ hổng trong quá trình xử lý TLS cho phép đối tượng tấn công từ xa gây lỗi ngoại lệ không được xử lý, dẫn đến việc máy chủ bị dừng hoạt động.
- CVE-2026-123877: Lỗi xác thực chứng chỉ trong cơ chế tái sử dụng phiên TLS của HTTPS Agent, có thể khiến kết nối sử dụng chính sách xác thực không phù hợp.
Các lỗ hổng trên có thể ảnh hưởng đến tính sẵn sàng của dịch vụ, làm lộ dữ liệu trong bộ nhớ hoặc tạo điều kiện để đối tượng tấn công vượt qua một số cơ chế bảo vệ của hệ thống.
Theo thông báo chính thức của dự án Node.js, các phiên bản cập nhật bảo mật được phát hành gồm:
Node.js 22.x: 22.23.5
Node.js 24.x: 24.22.3
Node.js 26.x: 26.13.1
2. Các lỗ hổng bảo mật trong Next.js
Bên cạnh Node.js, nền tảng Next.js cũng ghi nhận nhiều vấn đề bảo mật trong các bản công bố ngày 14/10/2026 và 03/11/2026. Các lỗ hổng ảnh hưởng đến một số chức năng xử lý hình ảnh, bộ nhớ đệm (Cache), định tuyến và quản lý dữ liệu trong ứng dụng.
Đáng chú ý, một số lỗ hổng có mức độ nghiêm trọng cao có thể dẫn đến thực thi mã từ xa (Remote Code Execution - RCE) thông qua API tối ưu hóa hình ảnh khi xử lý các tệp SVG trong những điều kiện khai thác nhất định.
Ngoài ra, các lỗ hổng được công bố trong tháng 11/2026 còn bao gồm:
- GHSA-rhh4-g77r-r9qj: Nguy cơ rò rỉ dữ liệu bộ nhớ đệm giữa những người dùng khác nhau khi sử dụng chức năng use cache với dữ liệu nhị phân.
- GHSA-vvgp-ww4w-46vf: Lỗ hổng có thể dẫn đến đầu độc bộ nhớ đệm (Cache Poisoning), khiến nội dung phản hồi hợp lệ bị thay thế bằng nội dung lỗi.
- GHSA-f3mh-rxg3-f5g2: Nguy cơ lộ thông tin cookie được thiết lập thuộc tính HttpOnly thông qua một số phản hồi nội bộ trên Edge Runtime.
- GHSA-7qx7-33qx-rqx2: Lỗi kiểm tra và từ chối tệp SVG trong chức năng tối ưu hóa hình ảnh, có thể bị vượt qua trong những điều kiện nhất định.
- GHSA-pc58-hwjq-p385: Nguy cơ chèn nội dung phản hồi và tiết lộ dữ liệu giữa các máy khách trong một số ứng dụng Next.js tự triển khai.
Các vấn đề này có thể ảnh hưởng đến tính bảo mật của dữ liệu người dùng, làm sai lệch nội dung được lưu trong bộ nhớ đệm hoặc tạo điều kiện cho các hành vi khai thác trái phép.
3. Khuyến nghị và biện pháp xử lý
Để hạn chế nguy cơ bị khai thác, các cơ quan, đơn vị và tổ chức đang quản lý, vận hành hệ thống thông tin sử dụng Node.js và Next.js cần khẩn trương thực hiện các biện pháp sau:
- Kiểm tra phiên bản đang sử dụng: Rà soát toàn bộ máy chủ, ứng dụng và các dự án đang vận hành, xác định phiên bản Node.js, Next.js hiện tại để đánh giá mức độ ảnh hưởng.
- Cập nhật bản vá bảo mật: Nâng cấp Node.js và Next.js lên các phiên bản đã được nhà phát triển khắc phục lỗ hổng, ưu tiên các phiên bản còn được hỗ trợ và phù hợp với ứng dụng đang triển khai.
- Kiểm tra thư viện phụ thuộc: Rà soát các package trong dự án, cập nhật những thư viện có cảnh báo bảo mật và kiểm tra các thành phần xử lý HTTP/2, HTTPS, TLS, hình ảnh và bộ nhớ đệm.
- Sao lưu và kiểm thử: Thực hiện sao lưu mã nguồn, dữ liệu và cấu hình trước khi nâng cấp; kiểm thử các chức năng quan trọng để hạn chế ảnh hưởng đến hoạt động của hệ thống.
- Tăng cường giám sát: Theo dõi nhật ký hệ thống, lưu lượng truy cập, các kết nối bất thường và dấu hiệu khai thác lỗ hổng; xây dựng phương án ứng phó khi phát hiện sự cố an toàn thông tin.
KHUYẾN CÁO
Các cơ quan, đơn vị không nên tiếp tục sử dụng những phiên bản đã hết thời hạn hỗ trợ hoặc chưa được cập nhật bản vá bảo mật. Đối với các hệ thống đang cung cấp dịch vụ trên môi trường Internet, cần ưu tiên kiểm tra và xử lý sớm nhằm giảm thiểu nguy cơ bị tấn công, khai thác và gián đoạn hoạt động.
4. Tài liệu tham khảo
- Thông báo cập nhật bảo mật Node.js ngày 11/11/2026
- Danh sách cảnh báo bảo mật Next.js
- Cảnh báo lỗ hổng nghiêm trọng Next.js – CSA Singapore
Nguồn: Node.js Project, Next.js Security Advisories và các tổ chức an toàn thông tin.
Tác giả: Nguyễn Tiến Đạt