Báo cáo bảo mật tháng 10/2026

Số liệu tính đến 2026-10-23. Tháng chưa kết thúc, cần cập nhật lại cuối tháng.

Mức độ: Nghiêm trọng Cao Trung bình Thấp · Phạm vi: AWS, GCP · NodeJS, PHP, Java, .NET, JavaScript · Next.js, Nuxt, Quasar, Laravel, Spring Boot.

1. Việc cần làm ngay

#Việc cần làmMức độHạn đề xuất
1Nâng cấp PHP lên 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 (hacker chiếm quyền server từ xa, đã có người thử khai thác)Nghiêm trọngNgay
2Nâng cấp Next.js lên 16.4.1 / 15.5.28 (2 lỗi chiếm quyền server từ xa)Nghiêm trọngNgay
3Nâng cấp Laravel lên 13.29.0 / 12.68.0 (đăng nhập giả mạo không cần token)Nghiêm trọngNgay nếu dùng token API với MySQL/MariaDB
4Nâng cấp Node.js lên 26.12.1 / 24.22.1 / 22.23.4 (4 lỗi mức cao, có 1 lỗi chiếm quyền)CaoTrong tuần
5Cập nhật Java (Oracle CPU 10-20) và .NET / ASP.NET Core (Patch Tuesday 10-13)CaoTrong tuần
6Cập nhật Chrome/Chromium lên bản 155.x mới nhấtCaoTrong tuần
7Nâng cấp Nuxt lên 4.5.1 / 3.21.10 hoặc mới hơnTrung bìnhTrong tháng
8Rà soát npm (gói độc hại) và cập nhật QuasarTrung bìnhTrong tháng

2. Ngôn ngữ

Thành phầnTóm tắt lỗ hổngMức độẢnh hưởng tới hệ thống nàoCách xử lý
PHP CVE-2026-109618, -109619 ("PHP2Shell"). Chỉ cần gửi một request đặc biệt là chiếm được server, không cần đăng nhập (CVSS 9.2). Có báo cáo bị khai thác từ 10-17. Nghiêm trọng Mọi ứng dụng PHP, kể cả Laravel (PHP-FPM, mod_php, FrankenPHP, LiteSpeed). Nhánh 8.1 trở xuống không có bản chính thức. Cập nhật code ứng dụng không giúp được. Nâng PHP lên 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 rồi restart. Bản cũ: dùng bản backport của distro hoặc nâng nhánh. Chi tiết
Node.js Bản phát hành 10-21: lỗi Brotli ghi ngoài vùng nhớ (có thể chiếm quyền, CVE-2026-111497); 2 lỗi bỏ qua kiểm tra tên miền của chứng chỉ TLS (CVE-2026-105483, -106069); lỗi dns.resolve (CVE-2026-105482). Thêm 6 lỗi nhẹ hơn. Cao Dịch vụ chạy Node.js 22.x, 24.x, 26.x (API, SSR, worker, Next.js, Nuxt). Client gọi HTTPS bằng Node có nguy cơ bị nghe lén. Nâng lên 26.12.1 / 24.22.1 / 22.23.4. Bản đã hết hỗ trợ (EOL) luôn bị ảnh hưởng, cần chuyển bản.
Java Oracle CPU 10-20: 55 bản vá cho Java SE, 49 lỗi khai thác từ xa không cần đăng nhập. Không có lỗi nghiêm trọng (điểm cao nhất khoảng 7.5). Cao Oracle JDK/JRE và OpenJDK cùng nhánh, gồm ứng dụng Spring Boot. Nặng hơn với ứng dụng chạy mã không tin cậy. Nâng lên 27.0.1 / 25.0.5 / 21.0.13 / 17.0.21 / 11.0.33 / 8u511. Đợt tiếp theo: 11-17.
.NET (gồm ASP.NET Core) Patch Tuesday 10-13: hơn 30 CVE cho .NET, 13 CVE cho ASP.NET Core. Đáng chú ý: 5 lỗi chạy mã từ xa (CVSS 8.8), CVE-2026-88092 (can thiệp request, 9.4), CVE-2026-70188 (bỏ qua bảo mật, 9.1). Microsoft xếp tất cả mức Important, chưa thấy bị khai thác. Cao Ứng dụng .NET 8/9/10 và .NET Framework (Windows, Linux, container); web/API ASP.NET Core, nhất là sau reverse proxy. Cập nhật runtime/SDK bản tháng 10, build lại image container.
JavaScript (trình duyệt + npm) Trình duyệt: Chrome 155 (10-06) sửa 247 lỗi, 4 lỗi Critical (có lỗi thoát khỏi sandbox), 53 lỗi High; các bản vá 10-13 và 10-15 sửa thêm lỗi Critical và lỗi ở V8. Chưa thấy bị khai thác trong tháng này. npm: chiến dịch gói độc hại giả "Apex Web3" (10-13) phát tán mã đánh cắp dữ liệu, nhắm cả AI coding agent. Cao Người dùng Chrome, Edge, Brave; ứng dụng Electron/WebView; máy dev và pipeline CI cài gói npm. Cập nhật trình duyệt và Electron. Dùng lockfile, npm ci, tắt install script khi không cần, kiểm tra gói mới thêm.

3. Framework

Thành phầnTóm tắt lỗ hổngMức độẢnh hưởng tới hệ thống nàoCách xử lý
Next.js Bản vá 10-14: (1) chiếm quyền server từ xa khi use cache trả về typed array, không có cách né tạm; (2) chiếm quyền qua Image Optimization với file SVG (CVE-2026-96889); (3) làm sập server qua Server Actions. Nghiêm trọng Ứng dụng Next.js 15.x và 16.x dùng App Router. Lỗi Image Optimization đến từ thư viện sharp, chạy trên Linux glibc. Nâng lên 16.4.1 / 15.5.28. Riêng CVE-2026-96889 có thể tạm dùng sharp ≥ 0.35.5.
Laravel Advisory 10-19: CVE-2026-114509 (CVSS 9.2) giả danh người dùng mà không cần token, chỉ khi dùng MySQL/MariaDB. CVE-2026-114508 (6.5): request đọc có thể kích hoạt xóa dữ liệu bảng liên quan. Cả hai không có cách né tạm. Nghiêm trọng Ứng dụng Laravel dùng guard token API (TokenGuard) trên MySQL/MariaDB; ứng dụng nạp quan hệ trên endpoint chỉ đọc (12.45.0 đến trước 13.27.0). Vẫn cần vá PHP. Nâng lên 13.29.0 / 12.68.0. Luôn tắt APP_DEBUG ở production.
Quasar Không có advisory mới trong tháng, nhưng nhiều CVE được công bố 10-06/07 cho advisory tháng 7: prototype pollution ở extend(), treo server SSR do regex User-Agent, XSS ở meta tag SSR, ghi file ngoài dự án qua icongenie, khóa TLS dev quyền rộng, DOM clobbering ở openURL(). Cao Ứng dụng Quasar dùng SSR/SSG; máy dev dùng icongenie, @quasar/cli, @quasar/app-vite. Nâng Quasar ≥ 2.32.2 và các gói @quasar/* lên bản mới nhất. Tắt trang lỗi SSR dev ở môi trường dùng chung.
Nuxt Không có CVE mới. Có 5 advisory ngày 10-16 (Moderate/Low): bỏ qua middleware và route rules khi đường dẫn mã hóa % hoặc khác chữ hoa/thường, useHeadSafe chưa lọc đầu vào, <NuxtLink> còn chạy URL javascript:. Còn hiệu lực: CVE-2026-71316 (lộ dữ liệu SSR của người khác qua cache _payload.json, 8.7, bản 4.4.0 đến 4.5.1). Trung bình Ứng dụng Nuxt 3/4 dùng route rules hoặc middleware phân quyền, server island, hoặc cache SSR. Nâng lên bản mới nhất của nhánh (từ 4.5.1 / 3.21.10 trở lên). Chưa rõ số hiệu bản vá của advisory 10-16, cần kiểm tra.
Spring Boot Không có advisory mới trong tháng 10. Còn hiệu lực: CVE-2026-40976 (CVSS 9.1) cấu hình bảo mật web mặc định không có tác dụng, mở mọi endpoint (4.0.0 đến 4.0.5). Tháng 9 có hơn 50 CVE từ Tomcat, Netty. Trung bình Spring Boot 4.0.0 đến 4.0.5 không tự cấu hình Spring Security; ứng dụng dùng Tomcat/Netty cũ. Dùng Spring Boot ≥ 4.0.6 / 3.5.14, cập nhật Tomcat/Netty, quét phụ thuộc kỹ.

4. Hạ tầng

Nhà cung cấpBản tin / Tóm tắtMức độẢnh hưởng tới hệ thống nàoCần làm gì
GCPGCP-2026-070 (10-21): lỗi PHP RCE. Google Cloud không bị lỗi, nhưng ứng dụng PHP chạy trên đó thì có.Nghiêm trọngApp Engine, Cloud Run, GKE, Compute Engine chạy PHPTriển khai lại với PHP đã vá. App Engine Standard và Cloud Run có thể tự vá nếu bật tự động cập nhật.
GCPGCP-2026-068 (10-14): sai phân quyền ở Application Integration (CVE-2026-85298), có thể nâng quyền và mạo danh service account.Nghiêm trọngApplication IntegrationKhông cần làm gì, Google đã vá từ 08-27.
GCPGCP-2026-069 (10-19): lỗi Istio và Envoy.CaoCloud Service Mesh, GKE dùng Istio/EnvoyLàm theo bản tin Cloud Service Mesh.
AWS2026-143-AWS (10-21): lỗi PHP RCE. Nhánh 5.4 đến 8.1 chưa có bản sửa cho CVE-2026-109618.Nghiêm trọngEC2, ECS/EKS, Lambda (custom runtime), Elastic Beanstalk chạy PHPNâng PHP trong image/AMI, theo dõi bản vá AWS bổ sung.
AWS2026-144-AWS (10-22): kiểm tra phân quyền sai khi xử lý truy vấn ở Athena engine v3 (CVE-2026-115416).CaoAmazon AthenaĐọc bản tin để xem có cần hành động.
AWS2026-145-AWS (10-22): chèn lệnh hệ điều hành ở Terraform hook của SAM CLI (CVE-2026-115414).CaoMáy dev/CI dùng SAM CLICập nhật SAM CLI.
AWS2026-142-AWS (SageMaker Python SDK, CVE-2026-112408, không xác minh chủ sở hữu bucket); 2026-141-AWS (CICD-toolchain-for-serverless-applications, CVE-2026-112407, gán sai đặc quyền).CaoDự án dùng SageMaker SDK hoặc toolchain CI/CD serverlessCập nhật SDK/toolchain.
AWSCác bản tin còn lại: 2026-147 (aws-c-mqtt), 2026-146 (Strands Agents SDK), 2026-140 (Kiro Crew WhatsApp), 2026-139 (FreeRTOS-Plus-TCP).Trung bìnhNgười dùng các SDK/thư viện tương ứngCập nhật nếu đang dùng.

5. Ghi chú về độ tin cậy

6. Nguồn