Báo cáo bảo mật tháng 9/2026
Tháng đã kết thúc. Báo cáo này bổ sung sau, tính đến 2026-10-23.
Mức độ: Nghiêm trọng Cao Trung bình Thấp · Phạm vi: AWS, GCP · NodeJS, PHP, Java, .NET, JavaScript · Next.js, Nuxt, Quasar, Laravel, Spring Boot. Các lỗi tháng 9 có thể đã có bản vá mới hơn, xem thêm báo cáo tháng 10.
1. Việc cần làm
| # | Việc cần làm | Mức độ | Hạn đề xuất |
|---|---|---|---|
| 1 | Nâng cấp Next.js (RCE qua next/og, và 7 lỗi cache/SSRF ngày 09-30) | Nghiêm trọng | Ngay |
| 2 | Cập nhật Chrome lên 153.x (zero-day V8 đang bị khai thác) | Cao | Ngay |
| 3 | Nâng Tomcat / Netty / Jackson đi kèm Spring Boot | Cao | Trong tuần |
| 4 | Nâng PHP lên bản có vá 11 advisory (nay lên thẳng bản tháng 10) | Cao | Trong tuần |
| 5 | Cập nhật .NET 8.0.31 / 9.0.20 / 10.0.12; kiểm tra SSM Agent và EKS Network Policy Agent | Cao | Trong tuần |
2. Ngôn ngữ
| Thành phần | Tóm tắt lỗ hổng | Mức độ | Ảnh hưởng tới hệ thống nào | Cách xử lý |
|---|---|---|---|---|
| PHP | Bản 8.5.11 và 8.4.26 (09-24) vá 11 advisory. Đáng chú ý: tràn bộ nhớ heap ở OpenSSL khi gặp chứng chỉ wildcard đặc biệt (CVE-2026-91767), kiểm tra tên miền chứng chỉ sai (CVE-2026-91769), lộ thông tin đăng nhập khi chuyển hướng HTTP (CVE-2026-91766), bỏ qua ACL IPv6 của PHP-FPM (CVE-2026-91768), lỗi Phar, SOAP, MySQLnd. Không thấy báo cáo khai thác. | Cao | Ứng dụng PHP dùng OpenSSL/HTTP stream/SOAP/Phar, PHP-FPM giới hạn client bằng listen.allowed_clients. | Nâng lên 8.5.11 / 8.4.26 trở lên (nay nên lên bản tháng 10, xem báo cáo 10/2026). Chưa xác nhận lỗi nào đã vá cho nhánh 8.3, 8.2. |
| Node.js | Không có bản vá bảo mật trong tháng 9 (đợt trước 07-29, đợt sau 10-21). | Thấp | Không có. | Không cần làm gì riêng cho tháng 9. |
| Java | Không có CPU quý trong tháng 9. Oracle ra bản vá nhỏ ngày 09-15, có 3 bản vá cho Java SE (khai thác từ xa, không cần đăng nhập), chưa rõ CVE và điểm. Các lỗi điểm 10.0 trong đợt này thuộc sản phẩm khác (WebLogic, Access Manager, Forms...), không phải Java SE. | Trung bình | Oracle JDK/JRE. WebLogic và các sản phẩm Oracle Fusion Middleware nếu có dùng. | Theo dõi Oracle CPU tháng 10 (xem báo cáo 10/2026). |
| .NET (gồm ASP.NET Core) | Patch Tuesday 09-08. .NET: vá ở 8.0.31 / 9.0.20 / 10.0.12; có 3 lỗi 8.8 liên quan xử lý file PDB (CVE-2026-69439, -71328, -69522) và lỗi từ chối dịch vụ ASP.NET Core (CVE-2026-69304). Chưa thấy khai thác. Windows (ngoài phạm vi, chỉ để biết): 2 lỗi leo thang đặc quyền đang bị khai thác (CVE-2026-81963, -85880) và nhiều lỗi chạy mã từ xa. | Cao | Ứng dụng .NET 8/9/10 và công cụ build dùng DiaSymReader; máy chủ Windows. | Cập nhật runtime/SDK lên 8.0.31 / 9.0.20 / 10.0.12 trở lên, build lại image container. |
| JavaScript (trình duyệt + npm) | Chrome: CVE-2026-87491, lỗi ghi ngoài vùng nhớ ở V8, đang bị khai thác (zero-day thứ 7 của 2026), vá ở Chrome 153.0.8010.36 (09-09). Cùng bản có 230 bản vá bảo mật. Các nguồn không thống nhất mức độ (High hay Medium). npm: chiến dịch MALFEX, 8 gói độc hại phát tán RAT và mã đánh cắp dữ liệu trên Windows (một nguồn duy nhất). | Cao | Người dùng Chrome, Edge, Brave; ứng dụng Electron/WebView; máy dev và CI cài gói npm. | Cập nhật trình duyệt và Electron. Dùng lockfile, npm ci, kiểm tra gói mới thêm. |
3. Framework
| Thành phần | Tóm tắt lỗ hổng | Mức độ | Ảnh hưởng tới hệ thống nào | Cách xử lý |
|---|---|---|---|---|
| Next.js | CVE-2026-94545 (09-22, CVSS 9.5): chiếm quyền server từ xa qua ImageResponse của next/og khi dữ liệu người dùng đi vào nội dung SVG. Ngày 09-30 có thêm 7 advisory: SSRF qua Image Optimization (CVE-2026-94483, 8.3), lẫn cache use cache (CVE-2026-103004, -94544), ghi đè/nhiễm cache ISR/SSG (CVE-2026-94543, -94484), lộ dữ liệu qua MCP endpoint của next dev (CVE-2026-94486). | Nghiêm trọng | Next.js 16.2.0 đến trước 16.3.6 dùng next/og trên Node.js (không phải Edge). Các lỗi cache/SSRF ảnh hưởng 15.x và 16.x, chủ yếu tự host. | Nâng lên 16.3.6 trở lên cho lỗi RCE. Các lỗi 09-30 cần 16.3.8 / 15.5.27 (một số số hiệu chưa xác nhận); nên lên thẳng bản tháng 10 (16.4.1 / 15.5.28). |
| Spring Boot (Tomcat, Netty, Jackson đi kèm) | Không có CVE mới của Spring Boot/Framework trong tháng 9. Phụ thuộc đi kèm: Tomcat CVE-2026-76183 (bỏ qua ràng buộc bảo mật WebSocket, CVSS 9.8) và CVE-2026-86350 (lộ header HTTP/2 giữa các request, 9.1); Netty 23 advisory vá ở 4.1.138.Final (HTTP/2, request smuggling); Jackson 4 lỗi từ chối dịch vụ (vá ở 2.18.11 / 2.21.7). | Cao | Ứng dụng Spring Boot (kể cả bản hết hỗ trợ) dùng Tomcat nhúng, WebSocket, HTTP/2 hoặc Netty (WebFlux). | Nâng Tomcat lên 10.1.60 / 9.0.122, Netty lên 4.1.138.Final, Jackson lên 2.18.11 / 2.21.7. Scanner (OSV/GHSA) có thể thiếu phạm vi phiên bản của Netty. |
| Laravel | CVE-2026-102279 (09-10, CVSS 3.1): XSS ở trang debug khi bật APP_DEBUG, kích hoạt khi rê chuột vào tooltip. | Thấp | Ứng dụng Laravel bật debug (thường là môi trường dev/staging). | Nâng lên 13.30.0 / 12.69.0, tắt APP_DEBUG ở production. |
| Quasar | CVE-2026-106101 (09-11, CVSS 3.1): openURL() bị phần tử HTML chèn vào làm hỏng trên iOS (từ chối dịch vụ phía client). | Thấp | Ứng dụng Quasar trên iOS (Cordova/Capacitor) hiển thị nội dung người dùng nhập. | Nâng quasar lên 2.32.2 trở lên. |
| Nuxt | Không tìm thấy advisory tháng 9 (chỉ xem 2 trang đầu danh sách, chưa chắc là không có). | Thấp | Không có. | Xem báo cáo 10/2026 cho các advisory mới hơn. |
4. Hạ tầng
| Nhà cung cấp | Bản tin / Tóm tắt | Mức độ | Ảnh hưởng tới hệ thống nào | Cần làm gì |
|---|---|---|---|---|
| GCP | GCP-2026-058 (09-02): thiếu kiểm tra quyền project trong API cluster GKE Multi-Cloud. Google xếp Critical, chưa có CVE; chưa đọc chi tiết bản tin. | Nghiêm trọng | GKE Multi-Cloud (cluster attached, AWS, Azure) | Đọc bản tin GKE để biết có cần hành động. |
| GCP | GCP-2026-063 (09-16, CVE-2026-15587): nâng quyền qua header xác thực nội bộ. GCP-2026-064 (09-28, CVE-2026-19759) và -065 (CVE-2026-81867, thực thi mã qua JavaScript Task): lỗi ở Application Integration. | Nghiêm trọng | Google SecOps SOAR; Application Integration | Không cần làm gì, Google đã vá (SOAR tự nâng cấp lên 6.3.85+; Application Integration vá từ tháng 6). |
| GCP | GCP-2026-060 và -062 (09-04, 09-11): nhiều lỗi Slurm (CVE-2026-65107...). GCP-2026-066 (09-28, CVE-2026-81375): đọc file nội bộ qua Email Task (đã vá 06-30). GCP-2026-059 (09-04): thiếu kiểm tra quyền ở HTTP Connector (đã vá từ 12/2025). | Cao | Cluster Toolkit, Cluster Director; Application Integration; Integration Connectors | Cluster Toolkit: xem bản tin sản phẩm. Còn lại không cần làm gì. |
| GCP | GCP-2026-061 (09-09): lỗi containerd khi khôi phục container từ checkpoint không tin cậy. | Trung bình | GKE có cài thêm criu trên node (cluster mặc định không bị) | Cluster mặc định không cần làm gì. |
| AWS | 2026-107-AWS (09-10, CVE-2026-89049): SSM Agent cho phép port forwarding tới endpoint metadata và lấy credentials IAM của instance. 2026-112 (09-14, CVE-2026-86830): TEAM for IAM Identity Center cấp quyền cao ngoài ý muốn. | Cao | EC2/máy dùng SSM Agent dưới 3.3.4851.0; TEAM dưới 1.5.1 | Nâng SSM Agent / TEAM; giới hạn ssm:StartSession trong lúc chờ. |
| AWS | 2026-113-AWS (09-16, CVE-2026-86831): EKS Network Policy Agent trộn lẫn pod trùng tên giữa namespace, có thể lách NetworkPolicy. | Cao | EKS dùng Network Policy Agent dưới 1.4.0 / VPC CNI từ 1.14.0 đến dưới 1.22.3 | Nâng agent lên 1.4.0 và VPC CNI add-on lên 1.22.4. |
| AWS | Lỗi ở SDK/thư viện: 2026-114 (IoT SDK for Python, không kiểm tra hostname chứng chỉ); 2026-115 (Amazon Connect Salesforce Lambda, thiếu kiểm tra quyền); 2026-106 (Deep Java Library); 2026-119 (GluonTS chạy lệnh từ model); 2026-117 (Kiro IDE); 2026-104 và -101 (postgres-mcp-server); 2026-118 (pgcollection, tự build). | Cao | Dự án dùng các SDK/công cụ tương ứng. RDS/Aurora không bị ảnh hưởng bởi 2026-118. | Cập nhật từng thư viện theo bản tin. |
| AWS | Các bản tin còn lại (2026-099 đến 2026-119, gồm EFS CSI driver, ion-java, OpenSearch Dashboards, Go SDK v2, projen, JDBC Wrapper, s2n-quic...). AWS không nêu mức độ nên cột này là đánh giá tạm. | Trung bình | Người dùng thành phần tương ứng | Cập nhật nếu đang dùng. |
5. Ghi chú về độ tin cậy
- Đã đọc trực tiếp nguồn chính thức: PHP ChangeLog (php.net), nodejs.org, advisory GitHub của Next.js, Laravel, Quasar, trang bản tin AWS 2026-099 đến 119, trang danh sách bản tin GCP.
- PHP: chưa mở từng advisory nên chưa có CVSS và phạm vi phiên bản; chỉ xem phần 8.5 và 8.4 của changelog.
- Next.js: các số hiệu bản vá ghi "16.3.?" trên trang advisory chưa được xác nhận. Chỉ xem trang 1 của danh sách advisory.
- Nuxt: chỉ xem 2 trang đầu của danh sách, nên "không có advisory tháng 9" chưa chắc chắn.
- Spring Boot: Tomcat, Netty, Jackson lấy từ một bài tổng hợp (HeroDevs), chưa đối chiếu với Apache/Netty/Jackson. spring.io không có mục tháng 9 (chưa kiểm tra nút "Load more").
- Java: bản vá 09-15 của Oracle chỉ có từ một trang tổng hợp (aicybr.com), chưa đọc oracle.com.
- .NET và Windows: chưa đọc MSRC; số liệu từ Help Net Security, Tenable và aicybr.com. Số CVE tổng khác nhau giữa các nguồn (964 đến 974). Mô tả CVE-2026-69439 chưa thống nhất giữa các nguồn.
- Chrome: CVE-2026-87491 từ BleepingComputer; bản 09-09 không thấy trong danh sách Chrome Releases, nên ngày và số bản cần xác minh. Không đọc được nội dung các bản 09-22 và 09-29. MALFEX chỉ có một nguồn.
- GCP: chỉ đọc trang danh sách, chưa mở từng bản tin; GCP-2026-058 chưa rõ cần làm gì.
- AWS: bản tin không nêu mức độ, nên cột mức độ là đánh giá tạm. Chưa kiểm tra bản tin 2026-098 trở xuống (có thể rơi vào 09-01 đến 09-03).
- Chuyển từ tháng 8: GCP-2026-055 (08-25, mức cao) là lỗi RCE ở Next.js và libheif, vá ở Next.js 16.3.3 / 15.5.24 trở lên và cần build lại image với libheif đã vá.
6. Nguồn
- PHP: ChangeLog 8.x
- Node.js: Vulnerability index
- Next.js: GitHub advisories, Thông báo trước ngày 09-23
- Laravel: CVE-2026-102279 · Quasar: CVE-2026-106101 · Nuxt: GitHub advisories
- Spring: spring.io/security, HeroDevs: round-up tháng 9
- Java: Oracle CSPU 09/2026 (aicybr)
- .NET/Windows: Help Net Security, Tenable, aicybr: .NET
- Chrome/npm: BleepingComputer, Chrome Releases 09/2026, MALFEX
- Hạ tầng: AWS Security Bulletins, Google Cloud Security Bulletins