2 lỗ hổng nghiêm trọng, 4 lỗ hổng mức cao: PHP, Node.js, Go vá bảo mật cùng ngày

PHP, Node.js và Go đồng loạt phát hành bản vá bảo mật chỉ trong một ngày. PHP ghi nhận 2 lỗ hổng thực thi mã từ xa ở mức nghiêm trọng, Node.js công bố 4 lỗ hổng mức cao, còn Go loại bỏ một chứng chỉ trung gian liên quan đến xác thực TLS khỏi danh sách tin cậy.

Theo BlockBeats đưa tin ngày 22, các vấn đề về thực thi mã từ xa (RCE) và vượt qua xác thực chứng chỉ TLS được công bố cùng ngày. Vị trí và tính chất lỗ hổng ở ba dự án này khác nhau.

Với PHP, hai mã CVE-2026-109618 và CVE-2026-109619 được xếp mức 'nghiêm trọng'. Cả hai đều cho phép thực thi mã từ xa mà không cần xác thực, nên môi trường PHP xử lý các yêu cầu web đều nằm trong phạm vi ảnh hưởng. Các phiên bản đã khắc phục là 8.5.12, 8.4.27, 8.3.36 và 8.2.35.

Thông báo của Node.js liệt kê 10 lỗ hổng, trong đó 4 lỗ hổng được xếp mức cao. Đó là lỗi thực thi mã từ xa do ghi dữ liệu ngoài vùng nhớ trong bộ giải mã Brotli, lỗi cắt ngắn tên miền DNS, và 2 lỗi vượt qua xác thực tên máy chủ TLS. Xác thực tên máy chủ là bước kiểm tra server đang kết nối có đúng là server dự định hay không; nếu bước này bị vượt qua, một server giả có thể bị nhận diện nhầm thành server hợp lệ. Các phiên bản đã khắc phục là 26.12.1, 24.22.1 và 22.23.4.

Với Go, lỗ hổng liên quan đến crypto/x509 mang mã CVE-2026-111943 đã được xác nhận. Red Hat đánh giá đây là mức 'quan trọng' (Important) với điểm CVSS 3.1 là 6.8. Nếu kẻ tấn công ở một vị trí mạng nhất định và có điều kiện như chứng chỉ liên quan, chúng có thể giả danh server hợp pháp để chặn hoặc chỉnh sửa thông tin truyền đi. Go đã phát hành phiên bản 1.26.10 và 1.27.3, đưa chứng chỉ trung gian gây vấn đề vào danh sách từ chối để không còn tin cậy chứng chỉ này nữa.

Chứng chỉ trung gian là chứng chỉ nối giữa chứng chỉ server cuối cùng và tổ chức phát hành chứng chỉ gốc. Việc chặn một mắt xích này đồng nghĩa với việc cắt trực tiếp một chuỗi tin cậy chứng chỉ cụ thể.

Điểm đáng chú ý của loạt thông báo này là phạm vi lỗ hổng đã mở rộng từ mã ứng dụng sang runtime và hệ thống chứng chỉ. BlockBeats nhận định xu hướng này là bề mặt tấn công đang dịch chuyển lên hệ thống xác thực TLS và niềm tin vào CA, đồng thời đánh giá động thái của Go gần với việc chặn khẩn cấp chuỗi tin cậy chứng chỉ hơn là một bản nâng cấp phiên bản thông thường. Đây là nhận định của BlockBeats, không phải kết luận từ một cơ quan chính thức.

CVSS là hệ thống đánh giá mức độ nghiêm trọng của lỗ hổng theo thang điểm từ 0 đến 10. Mức 6.8 điểm thông thường thuộc nhóm trung bình, nhưng Red Hat lại xếp cùng lỗ hổng này vào mức 'quan trọng'. Điều này cho thấy không thể chỉ dựa vào điểm số để đánh giá rủi ro thực tế.

Các trường hợp bị khai thác trong thực tế, biến động giá hay phản ứng của sàn giao dịch, ví điện tử chưa được đề cập trong thông tin lần này. Kết quả kiểm tra của các đơn vị vận hành dịch vụ tại Hàn Quốc và việc có bản vá tiếp theo hay không vẫn chưa được xác nhận.