Không chỉ PHP, ba nhánh phiên bản của Node.js cũng bị ảnh hưởng bởi lỗ hổng nghiêm trọng, người dùng cần cập nhật môi trường chạy kịp thời

Tin BlockBeats, ngày 22 tháng 10, dự án Node.js đã phát hành bản cập nhật bảo mật vào ngày 21 tháng 10, liên quan đến các nhánh phiên bản 26.x, 24.x và 22.x, với các phiên bản sửa lỗi lần lượt là 26.12.1, 24.22.1 và 22.23.4. Thông báo lần này liệt kê tổng cộng 10 lỗ hổng, bao gồm 4 lỗ hổng mức độ nghiêm trọng cao, 3 lỗ hổng mức độ trung bình và 3 lỗ hổng mức độ thấp, phạm vi ảnh hưởng của các nhánh phiên bản khác nhau có sự khác biệt.

Trong đó, lỗ hổng nghiêm trọng cao CVE-2026-111497 liên quan đến ghi ngoài phạm vi bộ giải mã Brotli, có thể dẫn đến thực thi mã từ xa, ảnh hưởng đến cả ba nhánh phiên bản nêu trên. Các vấn đề nghiêm trọng cao khác bao gồm xử lý ký tự null trong phân giải DNS và bỏ qua xác minh tên máy chủ chứng chỉ TLS.

Bản cập nhật lần này cũng sửa các vấn đề như xử lý phản hồi kết nối liên tục, trùng lặp bộ nhớ đệm số ngẫu nhiên và mô hình quyền, đồng thời cập nhật các thành phần phụ thuộc như c-ares, OpenSSL, Undici. Cơ quan chính thức nhắc nhở rằng các phiên bản đã ngừng hỗ trợ cũng có thể bị ảnh hưởng bởi lỗ hổng bảo mật, người dùng nên sử dụng phiên bản mới nhất được hỗ trợ.

Theo báo cáo trước đó, PHP đã sửa hai lỗ hổng nghiêm trọng có thể dẫn đến thực thi mã từ xa mà không cần xác thực, với các phiên bản sửa lỗi là 8.5.12, 8.4.27, 8.3.36 và 8.2.35, cơ quan chính thức kêu gọi người dùng nâng cấp ngay lập tức.