--- title: "Node.js, Java và Python: các lỗ hổng gần đây và hướng dẫn khắc phục" description: "Xem xét các bản cập nhật thời gian chạy, khung và chứng chỉ, với các đường cơ sở của bản vá dành riêng cho từng ngành, điều kiện tiếp xúc, biện pháp giảm thiểu tạm thời và xác minh sản xuất." language: "vi" url: "https://keendigit.com/vi/insights/node-java-python-security-remediation-guide" author: "KeenDigit" published: "2026-10-23" --- # Node.js, Java và Python: các lỗ hổng gần đây và hướng dẫn khắc phục Xem xét các bản cập nhật thời gian chạy, khung và chứng chỉ, với các đường cơ sở của bản vá dành riêng cho từng ngành, điều kiện tiếp xúc, biện pháp giảm thiểu tạm thời và xác minh sản xuất. **Nguồn được kiểm tra kể từ ngày 23 tháng 10 năm 2026 (UTC)** **Thời gian bảo hiểm: 25 tháng 7 đến 23 tháng 10 năm 2026, tập trung vào các thông báo mới và các bản vá tiếp theo từ tháng 9 đến tháng 10.** **Audience: các kỹ sư và người ứng phó bảo mật duy trì các dịch vụ Node.js, Java, Python, container, xây dựng đường ống và môi trường phát triển.** Bài viết này tóm tắt các rủi ro bảo mật quan trọng gần đây trong thời gian chạy Node.js, Java và Python, thư viện tiêu chuẩn cũng như các khung và phần phụ thuộc của máy chủ phổ biến, đồng thời cung cấp phạm vi tác động, phiên bản cố định, biện pháp giảm thiểu tạm thời, lựa chọn bản vá và phương pháp xác minh. Đánh giá tác động đối với các phiên bản thành phần, tính năng được kích hoạt và các điểm truy cập có thể truy cập. Thông tin về lỗ hổng bảo mật đến từ các cố vấn chính thức; ngày đề cập đến việc tiết lộ công khai trừ khi bản phát hành bản vá trước đó được ghi chú rõ ràng. Chúng tôi không suy luận các điều kiện khai thác chưa được xác nhận, điểm số CVSS hoặc hoạt động khai thác ngoài tự nhiên. Tư vấn triển khai được xác định là hướng dẫn triển khai. ## TL;DR: ưu tiên khắc phục 1. **Cập nhật thời gian chạy thực sự lưu trữ dịch vụ trước.** Cập nhật nhánh Node.js tương ứng lên ít nhất là **22.23.4 / 24.22.1 / 26.12.1**. Các dịch vụ sử dụng Node 24 có thể nâng cấp lên **24.22.1 trong cùng một phiên bản chính hoặc phiên bản mới hơn** có cùng các bản sửa lỗi. [S1](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-2) 2. **Update Các phần phụ thuộc ứng dụng Node riêng biệt.** Đối với Next.js, hãy sử dụng **15.5.28 / 16.4.1** làm đường cơ sở nâng cấp; khi sử dụng riêng React Server Components, hãy kiểm tra gói `react-server-dom-*` đã cài đặt thực tế. Chỉ cập nhật tệp nhị phân Node không khắc phục được các lỗ hổng khung này. [S8](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-8)[S9](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-10)[S11](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-11)[S12](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-12) 3. **Java: bao gồm cả hai đợt cập nhật.** Cài đặt bản dựng của nhà cung cấp bao gồm cả CPU ngày 20 tháng 10 và bản sửa lỗi tin cậy chứng chỉ khẩn cấp **CVE-2026-91403** ngày 21 tháng 10. Xem phần 2.2 để biết các phiên bản ngoài băng tần của Oracle JDK 11-27; xác minh các bản phân phối khác dựa trên các gói bảo mật và số bản dựng đầy đủ của riêng chúng. Cập nhật nhánh Tomcat tương ứng thành **9.0.123 / 10.1.61 / 11.0.27**. [S16](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-18)[S20](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-20)[S21](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-23) 4. **Python : cập nhật riêng trình thông dịch, gói ứng dụng và gói chứng chỉ.** Xem phần 2.3 đối với các đường cơ sở của thông dịch viên; `certifi` đề nghị **≥ 2026.10.19** , `pip` **≥ 26.2.2** , khi sử dụng `uv` **≥ 0.13.4** . Mọi venv hiện có đều cần được kiểm tra. Vì `wrap_bio()` mã liên quan, chính xác và không trống `server_hostname` cũng phải được thông qua. [S29](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-29) [S30](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-30) [S31](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-31) [S33](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-33) [S35](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-35) [S36](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-36) [S37](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-37) 5. **Nếu không thể nâng cấp ngay lập tức, hãy giảm mức độ hiển thị tại các điểm vào liên quan.** Ưu tiên dừng giải mã Brotli không đáng tin cậy, xử lý hình ảnh/phân trang/lưu trữ bị ảnh hưởng và cách ly các mục nhập xác thực hoặc LDAP có vấn đề; giữ chứng chỉ và tên máy chủ TLS được xác minh. WAF gửi đến không thể bao gồm các đường dẫn gửi đi chẳng hạn như các ứng dụng lấy phản hồi nén độc hại. [S3](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-3)[S11](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-11)[S25](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-25)[S27](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-27)[S30](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-30)[S32](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-32) 6. **Xây dựng lại, thay thế các quy trình cũ và xác minh thông qua các đường dẫn dịch vụ thực.** Lưu tệp khóa và thông báo hình ảnh, xây dựng lại ứng dụng và hình ảnh, triển khai các thay thế cho tất cả công nhân/JVM/vùng chứa; kiểm tra quy trình thực tế, cây phụ thuộc, cửa hàng tin cậy và kiểm tra hồi quy kinh doanh. Chỉ riêng phiên bản dòng lệnh mới hơn không chứng tỏ rằng việc khắc phục đã hoàn tất. 7. **Nếu LiteLLM 1.107.0 đã được cài đặt hoặc chạy, hãy làm theo các quy trình ứng phó với sự cố.** Dự án đã xác nhận thỏa hiệp phát hành vào ngày 21 tháng 10. Cô lập các môi trường bị ảnh hưởng, điều tra từ môi trường sạch, xây dựng lại và thay đổi thông tin xác thực bị lộ. Không khởi động Python/pip trong môi trường đáng ngờ để kiểm tra trước. Xem Phần 9 để biết chi tiết. [S41](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-41) ## 1. Tổng quan về lỗ hổng và đánh giá rủi ro ### 1.1 Ưu tiên khắc phục theo mức độ tiếp xúc thực tế Các ưu tiên triển khai dưới đây là hướng dẫn triển khai. Nhãn mức độ nghiêm trọng tuân theo từng nhà cung cấp, bao gồm xếp hạng **Important** của Apache. CVSS 3.1 và 4.0 là các hệ thống tính điểm khác nhau; không xếp hạng các vấn đề dựa trên điểm số mà thôi. | Hệ sinh thái/lớp | Các vấn đề chính | Điểm chính thức hoặc điểm được xác minh | Ưu tiên triển khai | | --------------------------- | ---------------------------------------------------------------------------------------- | --------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Phụ thuộc gốc Node.js | CVE-2026-111497: Brotli được viết vượt quá giới hạn và có nguy cơ RCE | Node：High | Giải mã dữ liệu Brotli [S1](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-1)[S3](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-3) trong nội dung yêu cầu bên ngoài hoặc phản hồi bên ngoài | | Node.js TLS / DNS | CVE-2026-105482, 105483, 106069: Phân tích cú pháp và xác minh danh tính không nhất quán | High | URL thu thập thông tin, proxy, Webhook, địa chỉ mục tiêu động [S1](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-1)[S5](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-6) | | Node.js HTTP/2 | CVE-2026-56846, 56848: Đã hết bộ nhớ và UAF | High | Node trực tiếp xử lý lưu lượng truy cập HTTP/2 không đáng tin cậy [S7](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-7) | | React / Next.js | RSC / `use cache` typed arrays RCE | Critical；CVSS 4.0 9.5 | Máy chủ RSC, các thành phần bộ nhớ đệm liên quan và đường dẫn dữ liệu [S9](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-10) | | Next.js Tối ưu hóa hình ảnh | CVE-2026-96889: SVG Xử lý hình ảnh RCE | Critical；CVSS 4.0 9.5 | Các phiên bản trên glibc Linux có thể xử lý hình ảnh không đáng tin cậy [S11](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-11) | | Next.js Server Actions | Yêu cầu được chế tạo đặc biệt khiến CPU cạn kiệt | High；CVSS 4.0 8.2 | App Router và ít nhất một Server Action [S12](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-12) | | Niềm tin Java TLS | CVE-2026-91403: Tiếp tục tin tưởng CA trung gian bị ảnh hưởng | CVSS 3.1 9.1 | Kịch bản TLS/API [S17](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-17) sử dụng chuỗi tin cậy bị ảnh hưởng | | Tomcat | Bỏ qua xác thực JNDIRealm, trộn lẫn yêu cầu chéo HTTP/2, rò rỉ phản hồi AJP | Important | Tương ứng với đường dẫn Realm / Connector / async Servlet [S21](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL | CVE-2026-59285: Giải tuần tự hóa phân trang RCE | High | Phân trang Jackson 2 + Connection + Đường dẫn lớp có thể khai thác [S25](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security | CVE-2026-59270: Danh tính quản lý đã biết LDAP được nhúng bị lộ | Critical | LDAP nhúng được bật và kẻ tấn công [S27](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-27) có thể truy cập cổng nghe | | CPython `ssl` | CVE-2026-19445: Ngữ cảnh chuyển đổi SNI dẫn đến UAF | Critical | Python tự chấm dứt TLS và đáp ứng điều kiện vòng đời ngữ cảnh [S29](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-29) | | CPython `ssl` | CVE-2026-19553: Bỏ qua xác minh khi thiếu tên máy chủ | High | `wrap_bio()`/Cuộc gọi asyncio liên quan thiếu tên máy chủ dự kiến [S30](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-30) | | CPython `tarfile` | CVE-2026-82049: Bỏ qua kết hợp liên kết cứng và liên kết tượng trưng | High | Tự động trích xuất kho lưu trữ tar không đáng tin cậy [S32](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-32) | | Django / GeoDjango | CVE-2026-15307: Tệp ghi truy vấn không gian, SSRF, trong điều kiện RCE | High | Truy vấn không gian hoặc giao diện quản trị liên quan chấp nhận đầu vào không đáng tin cậy [S38](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-38) | | Phụ thuộc chứng chỉ Python | certifi: Chứng chỉ liên quan đến emSign không tin cậy | Critical; GHSA, chưa được biết đến CVE | Công cụ quản lý gói và máy khách TLS [S36](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-37) vẫn đang sử dụng CA bundle bị ảnh hưởng | Chữ viết tắt: RCE là viết tắt của việc thực thi mã từ xa, UAF là viết tắt của use-after-free và SSRF là viết tắt của giả mạo yêu cầu phía máy chủ. Các quyền trực tiếp của RCE thường là các quyền của quá trình lưu trữ ứng dụng và không thể tự động tương đương với các quyền root. **Trình tự được đề xuất:** trước tiên xử lý RCE, có thể truy cập từ bên ngoài và đáp ứng các điều kiện, bỏ qua xác thực, rò rỉ dữ liệu người dùng chéo và các vấn đề xác thực chứng chỉ; đồng thời, lên lịch cập nhật cho điểm vào DoS công khai. Không cần chạy tải trọng tấn công trong quá trình sản xuất để chứng minh khả năng khai thác. Sự phụ thuộc tồn tại, đường dẫn mã có thể truy cập được và các điều kiện tấn công được đáp ứng. Đây là ba vấn đề cần được kiểm tra riêng. ### 1.2 Ba ranh giới dễ nhầm lẫn - **Nâng cấp thời gian chạy và phần phụ thuộc riêng biệt.** Các bản cập nhật bảo mật cho Node, JDK, CPython không tự động sửa chữa các bản cài đặt độc lập của Next.js, Spring, Django, certifi hoặc tiện ích mở rộng gốc. - Ngưỡng khắc phục **tách biệt với đường cơ sở triển khai hiện tại.** Bản vá đầu tiên cho lỗ hổng bảo mật trong tháng 8 không đảm bảo sẽ giải quyết được các vấn đề mới từ tháng 9 đến tháng 10; Phần 2 sử dụng các bản cập nhật tiếp theo đã được xác minh làm mục tiêu triển khai. - **DPhân biệt lỗ hổng từ một thỏa hiệp chuỗi cung ứng thực tế.** Đối với các lỗ hổng phổ biến, các bản vá sẽ loại bỏ các đường tấn công trong tương lai; khi các gói độc hại đã được chạy, cần phải điều tra tác động của thông tin xác thực và tính tồn tại. LiteLLM của Phần 9 là sự kiện được xác nhận chính thức. [S41](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-41) Việc có xác nhận việc khai thác trong tự nhiên hay không phải dựa trên các công bố chính thức. Nhà cung cấp không đề cập đến hoạt động khai thác và không thể chứng minh rằng không có cuộc tấn công nào; việc khắc phục phải được thực hiện dựa trên bề mặt tấn công thực tế. ## 2. Kiểm tra nhanh phiên bản cố định và đường cơ sở triển khai ### Nguồn tham khảo: 2.1 Node.js、React、Next.js | thành phần/nhánh | Phiên bản cơ sở được đề xuất | Hướng dẫn sử dụng | | ------------------------------------------- | --------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Node.js 22.x | **22.23.4** | Bản phát hành bảo mật [S1](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-2) vào ngày 21 tháng 10 | | Node.js 24.x | **24.22.1** | Áp dụng cho nhánh 24.x; 24.22.0 không chứa bản vá bảo mật ngày 21 tháng 10 [S1](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 26.x | **26.12.1** | Bản phát hành bảo mật cùng đợt [S1](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-1)[S2](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-2) | | Node.js 20 và các nhánh ngược dòng trước đó | Di chuyển đến một chi nhánh được hỗ trợ | Node 20 không chấp nhận bản sửa lỗi ngược dòng này; hỗ trợ mở rộng của nhà cung cấp phải được xác minh riêng [S3](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-3) | | Next.js 15.x | **15.5.28** | Cập nhật vào ngày 14 tháng 10 [S8](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-8) | | Next.js 16.x | **16.4.1** | Tương tự như trên [S8](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-8) | | Nhánh RSC 19.0 / 19.1 / 19.2 / 19.3 độc lập | **19.0.9 / 19.1.10 / 19.2.9 / 19.3.1** | Kiểm tra riêng ba gói `react-server-dom-*`; không chỉ nhìn vào lớp trên cùng `react` [S10](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-10) | | Next thực tế đã tải `sharp` | **≥0.35.5** | Điều kiện khắc phục tạm thời chính thức cho lỗ hổng SVG; không thay thế các bản vá Next.js khác [S11](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-11) | Node chính thức liệt kê các nhánh bảo trì bị ảnh hưởng đối với lỗ hổng tháng 10, nhưng không cung cấp từng mục phiên bản vá được giới thiệu ban đầu, do đó không thể xác định phiên bản khởi đầu chính xác của từng lỗ hổng chỉ dựa trên phạm vi nhánh bảo trì. Khi triển khai, hãy ưu tiên sử dụng phiên bản trên của cùng một nhánh hoặc phiên bản tiếp theo được xác nhận có chứa các bản sửa lỗi tương tự. ### 2.2 Java: Tháng 10 CPU cộng với bản cập nhật chứng chỉ ngoài băng tần Bảng này áp dụng cho **Oracle JDK**. Cột thứ hai chỉ bao gồm CPU ngày 20 tháng 10; phần thứ ba bao gồm bản phát hành ngoài ban nhạc ngày 21 tháng 10. Chỉ riêng phiên bản CPU không bao gồm tất cả các rủi ro Java được thảo luận ở đây. [S16](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-16)[S17](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-18) | chi nhánh | Ngày 20 tháng 10 CPU | Oracle ra mắt ngoài ban nhạc vào ngày 21 tháng 10 | | --------- | -------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | 11 | 11.0.33 | **11.0.33.0.2** | | 17 | 17.0.21 | **17.0.21.0.2** | | 21 | 21.0.13 | **21.0.13.0.2** | | 25 | 25.0.5 | **25.0.5.0.2** | | 27 | 27.0.1 | **27.0.1.0.2** | | 8 | 8u511 | Bảng phát hành công khai vẫn hiển thị **8u511**; việc xây dựng bảo mật cụ thể và sửa chữa chuỗi tin cậy phải được kiểm tra và không thể xác định chỉ dựa vào số phiên bản ngắn | \*\*Java 8 cần được kiểm tra dựa trên thông tin bản dựng đầy đủ:\*\*Oracle Cảnh báo liệt kê 8u511 là phiên bản bị ảnh hưởng và danh sách phát hành liệt kê các bản cập nhật tiếp theo có cùng tên viết tắt. Không thể phân biệt trạng thái bản vá chỉ dựa trên số phiên bản ngắn "8u511". Bạn nên xác nhận bản sửa lỗi xây dựng bảo mật cụ thể và chuỗi tin cậy. [S17](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-18) **Temurin, Corretto, Zulu, Microsoft Build of OpenJDK, phiên bản phát hành OpenJDK, v.v., hãy kiểm tra theo các thông báo tương ứng và số gói/bản dựng hoàn chỉnh.** Ví dụ: bản ghi phát hành chính thức của Adoptium cho biết rằng bản dựng liên quan đã được đóng gói lại để bổ sung bản sửa lỗi eMudhra; cùng tên của phiên bản ngược dòng không có nghĩa là nội dung gói giống nhau. Không thể áp dụng máy móc các quy tắc hậu tố `.0.2` cho Oracle cho các nhà xuất bản khác. [S20](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-20) | Các thành phần ứng dụng Java | Phiên bản cơ sở được đề xuất | Bình luận | | ------------------------------------- | ------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Tomcat 9 / 10.1 / 11 | **9.0.123 / 10.1.61 / 11.0.27** | Kiểm tra từng chi nhánh; Tomcat 10.0 đã ngừng bảo trì [S21](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-23) | | Spring for GraphQL 2.0.x | **2.0.5（OSS）** | Hỗ trợ thương mại cũng là 2.0.4.1 [S25](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-25) | | Spring Security 7.1 / 7.0 | **7.1.1 / 7.0.7（OSS）** | Tương ứng với phiên bản sửa lỗi tối thiểu được công bố vào tháng 8; bạn cần kiểm tra bản tin bảo mật tiếp theo [S27](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-27)[S28](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-28) trước khi triển khai | | Spring Security 6.5 / 6.4 / 5.8 / 5.7 | **6.5.12 / 6.4.19 / 5.8.28 / 5.7.26** | Thông báo được liệt kê là bản sửa lỗi hỗ trợ thương mại; quá trình di chuyển được đánh giá khi không có hỗ trợ tương ứng và không thể giả định rằng Maven Central có sẵn miễn phí [S27](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-27) | Việc nâng cấp Spring phải tôn trọng các dòng tương thích và phiên bản tối thiểu Spring Boot BOM, Java của dự án. Không trực tiếp buộc tất cả các mô-đun Spring về cùng một số chỉ để nhận bản vá. ### 2.3 CPython, Django và các phụ thuộc chứng chỉ Cột thứ hai của bảng bên dưới tập trung vào vấn đề TLS được tiết lộ vào tháng 9; sự khác biệt của nhánh dành cho `tarfile` được hiển thị trong phần 5.3. Bản phát hành ngày 21 tháng 10 cũng cập nhật công cụ chứng chỉ đi kèm, vì vậy cột cuối cùng bao gồm các đường cơ sở triển khai sau này. [S29](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-29)[S30](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-30)[S33](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-35) | Chi nhánh CPython | Phiên bản tối thiểu của đợt bảo mật tháng 9 | Cơ sở triển khai được đề xuất | | ----------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 3.10 | 3.10.22 | Bản phát hành cuối cùng từ thượng nguồn, EOL; sắp xếp di chuyển hoặc xác minh hỗ trợ tiện ích mở rộng phát hành [S34](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-34) | | 3.11 | **3.11.17** | 3.11.17 và cập nhật pip/certifi trong từng môi trường riêng lẻ | | 3.12 | **3.12.15** | 3.12.15 và cập nhật pip/certifi trong từng môi trường riêng lẻ | | 3.13 | 3.13.16 | **3.13.17** | | 3.14 | 3.14.8 | **3.14.9** | | 3.15 | Bản phát hành 3.15.0 cuối cùng bao gồm cả bản sửa lỗi TLS [S31](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-47) | **3.15.1** | Các phiên bản bảo mật ngược dòng của 3.11 và 3.12 chỉ có thể được phát hành dưới dạng mã nguồn; khi sử dụng gói hệ điều hành, hãy kiểm tra tư vấn cổng sau của nhà cung cấp và phiên bản gói hoàn chỉnh và không có yêu cầu buộc phải thay thế hệ thống Python bằng phiên bản tự biên dịch. [S33](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-33)[S34](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-34) | sự phụ thuộc độc lập | Phiên bản cơ sở được đề xuất | Mô tả | | ---------------------- | ---------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Django 5.2 / 6.0 / 6.1 | **5.2.18 / 6.0.9 / 6.1.2** | Kết hợp đợt điều chỉnh tiếp theo [S38](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-38)[S39](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-39) vào ngày 6 tháng 10 | | certifi | **≥2026.10.19** | Bản vá ban đầu của GHSA là 0,18; PSF khuyến nghị .19 để duy trì khả năng tương thích cho các chứng chỉ không bị ảnh hưởng [S36](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-37) | | pip | **≥26.2.2** | Bản sao tích hợp của certifi cần được cập nhật riêng [S35](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-37) | | uv (nếu được sử dụng) | **≥0.13.4** | Cập nhật [S37](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-37) theo phương pháp cài đặt thực tế | **Các đường cơ sở này bao gồm các bản sửa lỗi được liệt kê.** Một sự cố có mức độ nghiêm trọng trung bình khác trong `tar_filter` đã được tiết lộ vào ngày 22 tháng 10. Tính đến ngày 23 tháng 10 năm 2026, phiên bản bảo trì chính thức chứa bản sửa lỗi này vẫn chưa được xác nhận; do đó, 3.13.17 / 3.14.9 / 3.15.1 không thể được coi là đã giải quyết được tất cả các vấn đề về tarfile. Xem Phần 5.4. [S40](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-40) ### 2.4 Xác minh backport phân phối Nguyên tắc triển khai áp dụng cho Ubuntu, Debian, RHEL và các gói phần mềm khác: 1. Ghi lại phiên bản hệ điều hành, nguồn kho lưu trữ, phiên bản gói đầy đủ và số bản tin bảo mật của nhà cung cấp. 2. Xác nhận rằng tư vấn bao gồm CVE cụ thể và xác định gói cố định cho bản phát hành phân phối có liên quan. 3. So sánh các tệp nhị phân/thư viện được tải bởi quá trình đang chạy thực tế, không chỉ phiên bản ngắn ngược dòng. 4. Khi không có bằng chứng về bản vá của nhà cung cấp, hãy để nó "được xác nhận" và đừng coi đó là kết luận duy nhất rằng số phiên bản trông cũ hay mới. Có sự khác biệt trong các phiên bản gói apt/RPM và chiến lược backport của các bản phân phối khác nhau. Bản tin bảo mật và phiên bản gói hoàn chỉnh của mỗi bản phân phối sẽ được ưu tiên áp dụng. ## 3. Hệ sinh thái Node.js / JavaScript: Phân tích nguyên nhân và cách khắc phục ### 3.1 CVE-2026-111497: Bộ giải mã gốc Brotli ghi ngoài giới hạn **DTiết lộ: 21-10-2026; Node cấp chính thức: High. Các bản dựng bị ảnh hưởng của** Node 22.x, 24.x, 26.x yêu cầu cài đặt phần bản vá 2.1. Node Thông báo không liệt kê điểm CVSS bằng số. [S1](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-1) Sự cố xảy ra trong logic giải mã gốc khi xử lý luồng nén Brotli không đúng định dạng, điều này có thể dẫn đến việc ghi ngoài giới hạn. Mô tả chính thức của Vercel xác nhận rằng bản trình diễn nghiên cứu liên quan đến rò rỉ bộ nhớ quy trình và thực thi lệnh. Việc kẻ tấn công có thể tiếp cận bộ giải mã hay không tùy thuộc vào việc ứng dụng hoặc phần phụ thuộc có thực sự giải mã được dữ liệu mà nó kiểm soát hay không. [S3](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-3) Cả hai hướng cần phải được kiểm tra cùng một lúc: - **inbound: Khung hoặc phần mềm trung gian** tự động giải nén nội dung yêu cầu Brotli do người dùng gửi. - \*\*outbound:\*\*HTTP Khách hàng, trình lấy hình ảnh, v.v. truy cập các nguồn do kẻ tấn công kiểm soát và tự động giải nén nội dung được trả về. Việc tắt tính năng nén Brotli của các phản hồi được gửi tới trình duyệt sẽ không xóa điểm nhập giải mã. Bảo vệ WAF gửi đến cũng không bao gồm các ứng dụng tìm nạp và giải mã các phản hồi bên ngoài. [S3](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-3) Hướng \*\*Patch:\*\*Node Di chuyển bản sửa lỗi ngược dòng Brotli vào phần phụ thuộc gốc và bổ sung việc kiểm tra trạng thái giải mã bất hợp pháp và lan truyền lỗi. Khi duy trì phiên bản tự biên dịch, bạn nên sử dụng bản phát hành bảo mật chính thức hoặc bản vá hoàn chỉnh của nhánh phù hợp. Bạn không thể thay đổi câu lệnh phiên bản của gói JavaScript. [S4](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-4) Đề xuất triển khai tạm thời **:** dừng giải mã Brotli không đáng tin cậy; kiểm tra hành vi giải nén tự động của phần mềm trung gian và máy khách HTTP; nếu doanh nghiệp phải chấp nhận định dạng này, hãy hoàn tất quá trình xử lý trong môi trường được vá lỗi càng sớm càng tốt. Việc điều chỉnh `Accept-Encoding` chỉ là một hành động thương lượng và không nên coi đó là bằng chứng cho thấy phản hồi ác ý đã bị chặn. ### 3.2 TLS / DNS ba High: Đối tượng xác minh không nhất quán với mục tiêu thực tế Cả ba đều được tiết lộ vào ngày 21/10, với ngưỡng nâng cấp chính thức được quy định tại Mục 2.1. [S1](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-1) | Mã định danh | Đã xác nhận sự cố | Các nhánh bị ảnh hưởng | | --------------- | ------------------------------------------------------------------------------------- | ---------------------- | | CVE-2026-105482 | `dns.resolve` Cắt ngắn tên chứa NUL | 22.x / 24.x / 26.x | | CVE-2026-105483 | IP ở dạng số có chiều rộng đầy đủ khiến việc xác minh tên máy chủ chứng chỉ bị bỏ qua | 24.x / 26.x | | CVE-2026-106069 | Tên máy chủ có thể được hiểu một cách lỏng lẻo là IP dẫn đến bỏ qua xác minh TLS | 22.x / 24.x / 26.x | DNS Bản chất của vấn đề là chuỗi được kiểm tra bởi lớp trên khác với tên thực sự được phân tích cú pháp bởi lớp dưới. Bản vá chính thức từ chối NUL ở mục phân tích cú pháp và thêm phạm vi hồi quy. [S6](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-6) TLS Hai mục liên quan đến việc chuẩn hóa tên, tính nhất quán của việc giải thích IP và khớp chứng chỉ. Vá lỗi để đầu vào IP không chuẩn bị từ chối hoặc xử lý chính xác để tránh nhầm lẫn điểm cuối IP thực tế với danh tính miền chứng chỉ. [S5](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-5) Đề xuất khắc phục sự cố thực tế cho **:** ưu tiên kiểm tra mã của người dùng nhận URL, mục tiêu proxy động hoặc địa chỉ Webhook; tiêu chuẩn hóa thống nhất và cho phép phán đoán danh sách, từ chối các ký tự điều khiển/NUL, xác nhận IPv4, IPv6 hợp pháp và các tên miền quốc tế hóa vẫn hoạt động. Liệu SSRF có thể được hình thành thêm hay không đòi hỏi phải áp dụng bằng chứng liên kết, không thể suy ra trực tiếp từ tên CVE. Không sử dụng `NODE_TLS_REJECT_UNAUTHORIZED=0` hoặc `rejectUnauthorized: false` để loại bỏ lỗi tổng kiểm tra sau nâng cấp. Địa chỉ, chứng chỉ và cấu hình doanh nghiệp phải được sửa. ### 3.3 Tháng 7 HTTP/2 High-các vấn đề về mô hình cấp phép và rủi ro Những vấn đề sau được tiết lộ vào tháng 7 vẫn cần được đưa vào cuộc điều tra. Bạn nên sử dụng trực tiếp đường cơ sở của phiên bản bảo mật tháng 10 trong Phần 2.1 khi triển khai. [S7](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-7) | CVE | Nguyên nhân và tác động | Phiên bản cố định đầu tiên | | -------------- | --------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------- | | CVE-2026-56846 | Khối HTTP/2 header được giữ lại không được bao gồm đúng cách trong ngân sách `maxSessionMemory` và có thể làm cạn kiệt bộ nhớ; Tác động 22.x / 24.x | 22.23.2 / 24.18.1 | | CVE-2026-56848 | HTTP/2 nhập lại đường dẫn gửi trong quá trình thu thập gói, gây ra đống UAF; tác động 22.x / 24.x / 26.x | 22.23.2 / 24.18.1 / 26.5.1 | | CVE-2026-58043 | `--permission` Kết quả ranh giới tiền tố đường dẫn quá rộng và các tệp nằm ngoài danh sách được phép có thể được truy cập. | Tương tự như ba dòng bảo trì ở trên | Cả ba đều có tên chính thức là High. Hai mục đầu tiên ưu tiên kiểm tra xem HTTP/2 có được chính Node xử lý hay không; mục thứ ba chỉ có ý nghĩa tương ứng khi sử dụng mô hình cấp phép và dựa vào ranh giới này. Tất cả các mục mô hình quyền không thể được mô tả là mạng RCE không yêu cầu xác thực. [S7](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-7) Tạm thời chấm dứt HTTP/2 trên một proxy cập nhật, riêng biệt và hạn chế các nguồn phụ trợ là một tùy chọn triển khai để giảm mức độ phơi nhiễm; Hạn ngạch tài nguyên chỉ có thể kiểm soát hậu quả của việc cạn kiệt tài nguyên và không thể vá UAF. ### 3.4 Tháng 10 React / Next.js: hai mặt hàng RCE và một mặt hàng DoS #### A. RCE trong các hàm RSC / `use cache` trả về các mảng đã nhập **Ngày công khai: 14-10-2026; Critical, CVSS 4.0 9.5.** Mã định danh tư vấn chính thức: - React：**GHSA-xqc2-xf4c-x3h3**。 - Next.js：**GHSA-673q-mjm6-r5xr**。[S9](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-9)[S10](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-10) Sự cố ngược dòng React liên quan đến nhiều mảng được nhập kết hợp với các giá trị do kẻ tấn công kiểm soát trong phản hồi RSC. Ba phiên bản gói `react-server-dom-*` bị ảnh hưởng là **19.0.0—19.0.8, 19.1.0—19.1.9, 19.2.0—19.2.8, 19.3.0**; xem chương Phần 2.1. React thuần túy phía trình duyệt hoặc các ứng dụng hoàn toàn không sử dụng khung/plugin hỗ trợ RSC, không nằm trong phạm vi của mục này. [S10](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-10) Danh sách thông báo xuôi dòng Next.js **16.0.0—16.4.0**, được sửa đổi trong **16.4.1**; kịch bản là các hàm App Router, Cache Components và `use cache` trả về nhiều mảng đã nhập. Không có giải pháp chung đáng tin cậy chính thức nào và người dùng các phiên bản bị ảnh hưởng phải nâng cấp kịp thời. Sẽ không phù hợp nếu chỉ dựa vào tìm kiếm thủ công "chức năng này dường như không tồn tại" để kết thúc quá trình xử lý. [S9](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-9) #### Nguồn tham khảo: B. SVG Image Optimization RCE **CVE-2026-96889/GHSA-2464-fhr4-w9xw, 2026-10-14, Critical, CVSS 4.0 9.5. Sự cố** xảy ra trong thư viện gốc ngược dòng được sử dụng để tối ưu hóa hình ảnh. Các quan chức chỉ ra rằng rủi ro RCE tồn tại trong kịch bản **glibc Linux**. [S11](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-11) Các trường phiên bản chính thức là: - `>=10.0.0 <=15.5.27`； - `>16.0.0 <=16.4.0`。 Chính thức sử dụng giới hạn dưới nghiêm ngặt của `>16.0.0` cho nhánh 16.x, nhưng tuyên bố phạm vi này không đủ để chứng minh rằng 16.0.0 là an toàn. Mục tiêu nâng cấp thực tế là **15.5.28 / 16.4.1** thống nhất. [S11](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-11) Giải pháp tạm thời chính thức là đảm bảo rằng **Next thực sự tải sắc nét ≥0.35.5**. Các tệp khóa, phần phụ thuộc lồng nhau và hình ảnh triển khai có thể vẫn giữ các phiên bản cũ, vì vậy, chỉ thêm phiên bản mới của phần phụ thuộc `sharp` ở cấp cao nhất là không đủ, cây phụ thuộc cuối cùng cần được kiểm tra và xây dựng lại. [S11](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-11) #### C. Server Actions CPU đã cạn kiệt \*\*GHSA-p3m5-59mp-jv5r, 2026-10-14, High, CVSS 4.0 8.2.\*\*Next ảnh hưởng đến **13.0.0—15.5.27, 16.0.0—16.4.0**, sửa lỗi **15.5.28 /16.4.1**. Các điều kiện là App Router và ít nhất một Server Action; các yêu cầu độc hại có thể khiến CPU bị chiếm giữ trong thời gian dài, chặn các yêu cầu tiếp theo trong cùng một quy trình. Các ứng dụng có Pages Router hoặc không có Server Actions không bị ảnh hưởng bởi điều này. [S12](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-12) Không có cách giải quyết chính thức nào có thể thay thế việc nâng cấp. Giới hạn tốc độ, giới hạn đồng thời và hạn ngạch tài nguyên có thể giảm thiệt hại nhưng không thể được sử dụng làm kết luận cho việc xác minh bản vá. ### 3.5 Trước đó Next.js trong cùng một cửa sổ Sự cố nghiêm trọng Các mục sau đây nhằm tránh thiếu các hoạt động triển khai vẫn bị kẹt trên các phiên bản từ trước tháng 8 đến tháng 9; hiện tại không nên chuyển lên các ngưỡng cố định cũ trong bảng. | Ngày | Mã định danh/kịch bản | Sửa lần đầu; hành động hiện tại | | ---------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | 2026-08-25 | GHSA-2xp9-vwfh-vxw4: Thư viện gốc tối ưu hóa hình ảnh AVIF RCE, Critical | 15.5.24 / 16.3.3; bây giờ là 15.5.28 / 16.4.1 [S13](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-13) | | 2026-08-25 | CVE-2026-75604: RCE, Critical khi Pages Router và App Router được sử dụng đồng thời trên Windows và Cache Components không được bật; phiên bản `>=13.4.0 <15.5.24`, `>=16.0.0 <16.3.3` | 15.5.24 / 16.3.3; Linux/macOS không bị ảnh hưởng bởi sự cố Windows cụ thể này [S14](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-14) | | 2026-09-22 | GHSA-vcvr-r3jv-pc5j: đường dẫn tạo hình ảnh Node trong `next/og` xử lý SVG, Critical không đáng tin cậy; 16.2.0—16.3.5 | 16.3.6; việc triển khai Edge nằm ngoài phạm vi của vấn đề này và 15.x không phải là nhánh bị ảnh hưởng đối với RCE [S15](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-15) này | ## 4. Hệ sinh thái Java: Độ tin cậy trong thời gian chạy, vùng chứa và khung được xử lý riêng ### 4.1 JDK: CPU và CVE-2026-91403 thông thường là các bản cập nhật hai tầng Ma trận rủi ro Java SE cho Oracle CPU vào ngày 20 tháng 10 liệt kê các bản vá bảo mật mới của **55, 49 trong số đó được đánh dấu là có thể khai thác qua mạng mà không cần xác thực**. Điều này không có nghĩa là có 55 đường dẫn Critical, cũng không có nghĩa là có 49 đường dẫn RCE có thể khai thác trực tiếp cho mỗi dịch vụ web Java; nó phải được hiểu cùng với các thành phần, API, tương tác của người dùng và điều kiện triển khai trong ma trận. [S16](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-16) **CVE-2026-91403 (CVSS 3.1 9.1)** của ngày hôm sau giải quyết một loại rủi ro khác: một tập hợp CA trung gian liên quan đến sự kiện eMudhra không còn đáng tin cậy nữa. Nó ảnh hưởng đến xác thực ngang hàng TLS và tính bảo mật/toàn vẹn liên lạc và không thể được mô tả là lỗ hổng hỏng bộ nhớ JVM. [S17](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-17) Tư vấn Oracle liệt kê phiên bản được phát hành vào ngày 20 tháng 10 là bị ảnh hưởng, do đó, bản cập nhật ngoài băng tần vào ngày 21 tháng 10 cũng cần được cài đặt. Xem phần 2.2 để biết phiên bản cụ thể. GraalVM cũng có các sản phẩm bị ảnh hưởng tương ứng và phiên bản sửa lỗi phải tuân theo bản tin bảo mật độc quyền của nó. [S17](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-17)[S18](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-18) **Các biện pháp chính thức tạm thời:** Trước tiên hãy sao lưu, sau đó xóa chứng chỉ gốc được chỉ định khỏi mỗi kho ủy thác được sử dụng thực tế: - `emSign ECC Root CA - G3`, Oracle bí danh `emsigneccrootcag3 [jdk]`. - `AAA Certificate Services`, Oracle bí danh `comodoaaaca [jdk]`. [S19](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-19) JDK 11 trở lên, ví dụ chính thức là: ```bash keytool -delete -cacerts -alias "emsigneccrootcag3 [jdk]" keytool -delete -cacerts -alias "comodoaaaca [jdk]" ``` Sử dụng **keytool từ JDK** đích cho các lệnh này và xác nhận rằng chúng đang hoạt động trên kho lưu trữ tin cậy thực tế của ứng dụng. Java 8 sử dụng đường dẫn tương ứng với `jre/lib/security/cacerts`; việc tùy chỉnh cửa hàng ủy thác phải được xử lý riêng và các nhà xuất bản khác có thể có các bí danh khác nhau. Việc xóa chứng chỉ gốc sẽ mở rộng phạm vi từ chối và kiểm tra hồi quy chuỗi chứng chỉ dịch vụ hợp pháp. [S19](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-19) Chính thức này cũng cung cấp tùy chọn kích hoạt kiểm tra thu hồi, nhưng hiệu quả phụ thuộc vào việc triển khai TLS thực tế, khả năng tiếp cận dịch vụ thu hồi và chiến lược thất bại. Đối với các hoạt động triển khai chung, hãy ưu tiên cài đặt các bản cập nhật đầy đủ của nhà cung cấp để tránh coi hai bộ chuyển mạch JVM là bằng chứng cho thấy tất cả thư viện TLS đã được sửa. ### 4.2 Tomcat: Bỏ qua xác thực và cách ly yêu cầu của nhiều người dùng Ba mục sau đây đã được xuất bản trên **2026-10-20**; mục nhập phiên bản đã sửa chữa có ngày **Otháng 12 12**. Cấp chính thức của Apache là **Important**. [S21](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-23) | CVE | Các phiên bản bị ảnh hưởng đã được xác nhận | Kịch bản/kết quả cần thiết | | --------------- | ---------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------------------------------------------- | | CVE-2026-101296 | 9.0.0.M1—9.0.122；10.1.0-M1—10.1.60；11.0.0-M1—11.0.26 | JNDIRealm Định cấu hình cơ chế xác thực SASL không phải GSSAPI, thiếu xác minh thông tin xác thực và mật khẩu không chính xác cũng có thể vượt qua | | CVE-2026-101356 | 9.0.118—9.0.122；10.1.55—10.1.60；11.0.22—11.0.26 | Xử lý lỗi Servlet không đồng bộ của HTTP/2 tái chế/tái sử dụng các đối tượng không chính xác, khiến các yêu cầu hoặc phản hồi bị trộn lẫn giữa những người dùng | | CVE-2026-103119 | Chỉ xác nhận **11.0.0-M25—11.0.26** | Việc ghi không chặn AJP lớn có thể khiến bộ đệm chưa được đọc, làm lộ dữ liệu phản hồi trước đó trong các yêu cầu sau này. | Bản sửa lỗi tương ứng là **9.0.123 / 10.1.61 / 11.0.27**; AJP chỉ được liệt kê là Tomcat 11 theo thông báo và không thể mở rộng thành ba nhánh có cùng một vấn đề. [S21](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-23) Bản vá JNDIRealm khắc phục lỗ hổng xác minh trong quy trình xác thực thực tế, trong đó không thể sử dụng "giao diện đăng nhập ứng dụng trông bình thường" thay vì xác minh. Trong lĩnh vực này, các cơ chế SASL phải được kiểm tra cấu hình thực tế của dịch vụ và các thử nghiệm phải thất bại do mật khẩu không chính xác. [S24](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-24) **Đề xuất triển khai tạm thời:** cô lập đường dẫn xác thực bị ảnh hưởng; tạm dừng xử lý HTTP/2 của Tomcat khi giấy phép kinh doanh; đóng AJP vô dụng. Chỉ hạn chế quyền truy cập trực tiếp vào cổng AJP không thể chứng minh rằng lưu lượng truy cập đi qua proxy phía trước hợp pháp sẽ không bị ảnh hưởng. Sau khi cập nhật chính thức, các yêu cầu đồng thời không đồng bộ từ hai người dùng độc lập phải được kiểm tra để xác nhận rằng không có sự trao đổi chéo giữa danh tính và phản hồi. ### Nguồn tham khảo: 4.3 Spring for GraphQL：CVE-2026-59285 **Ngày công khai: 20-08-2026; High.** bị ảnh hưởng **2.0.0—2.0.4**, đã sửa chữa **2.0.5 (OSS)** hoặc **2.0.4.1 (hỗ trợ thương mại)**. [S25](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-25) Đây là một rủi ro khử lưu lượng không an toàn trong các truy vấn phân trang. Yêu cầu chính thức là phải đáp ứng đồng thời các điều kiện sau: 1. Sử dụng Spring for GraphQL. 2. Giải tuần tự hóa JSON bằng Jackson 2.x. 3. Cung cấp trường phân trang Kết nối với thế giới bên ngoài. 4. Đường dẫn lớp chứa các lớp cụ thể có thể thực hiện logic không mong muốn trong quá trình khởi tạo hoặc giải tuần tự hóa. Yêu cầu GraphQL độc hại có thể gây ra RCE khi các điều kiện được đáp ứng. Không thể rút gọn thành "tất cả các chương trình Java sử dụng Jackson đều có thể bị khai thác". [S25](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-25) **Tại sao 2.0.4 không đủ:** Vào tháng 6, CVE-2026-41699 đã đưa ra các đường cơ sở của bản vá như 2.0.4 và vào tháng 8, thông báo rõ ràng đã đưa 2.0.4 vào phạm vi ảnh hưởng mới. Do đó, hồ sơ sửa chữa phải được cập nhật theo các thông báo tiếp theo và không thể sử dụng phiên bản tối thiểu của CVE cũ. [S26](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-26) Khi tạm thời không thể nâng cấp, các trường phân trang bị ảnh hưởng mà người gọi không tin cậy có thể truy cập được có thể bị tạm dừng; thu hẹp các loại có thể giải tuần tự hóa và đường dẫn lớp là một biện pháp chuyên sâu. Các hồi quy phải bao gồm các con trỏ hợp pháp, kết quả được phân trang và từ chối đầu vào ngoại lệ, đồng thời kiểm tra các phiên bản thành phần thực tế trong JAR ứng dụng cuối cùng. ### 4.4 Spring Security: CVE-2026-59270 và các rủi ro xác thực liên quan **CVE-2026-59270, 2026-08-20, Critical.** được nhúng `UnboundIdContainer` đăng ký thông tin xác thực quản trị viên đã biết theo mặc định và lắng nghe trên tất cả các giao diện mạng. Khi thành phần này được kích hoạt và có thể truy cập được cổng, kẻ tấn công có thể đọc hoặc sửa đổi dữ liệu thư mục; các dự án thường giới thiệu Spring Security sẽ không tự động hiển thị LDAP. [S27](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-27) Khu vực bị ảnh hưởng: | chi nhánh | bị ảnh hưởng | Kênh sửa chữa/tiếp nhận đầu tiên | | --------- | ------------------------- | ------------------------------------- | | 7.1 | 7.1.0 | 7.1.1 OSS; cũng là 7.1.0.1 thương mại | | 7.0 | 7.0.0—7.0.6 | 7.0.7 OSS; cũng là 7.0.6.1 thương mại | | 6.5 / 6.4 | 6.5.0—6.5.11；6.4.0—6.4.18 | 6.5.12/6.4.19, thương mại | | 5.8 / 5.7 | 5.8.0—5.8.27；5.7.0—5.7.25 | 5.8.28/5.7.26, thương mại | Nguồn: [S27](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-27). Khắc phục sự cố cấu hình tự động `spring.ldap.embedded.*` và mã khởi tạo trực tiếp; đóng thành phần khi không cần thiết cho sản xuất và kiểm tra địa chỉ nghe thực tế. Khi doanh nghiệp thực sự cần, trước tiên hãy hạn chế các nguồn gọi rồi mới hoàn tất việc nâng cấp thành phần. \*\*Vấn đề xác thực liên quan: CVE-2026-47841 (High).\*\*WebAuthn Xác thực người dùng được đặt thành `REQUIRED` và sau khi phiên HTTP được tuần tự hóa bằng bộ lưu trữ phân tán, so sánh nhận dạng đối tượng không chính xác có thể làm mất hiệu lực yêu cầu xác thực. Cuộc tấn công cũng yêu cầu kẻ tấn công phải sở hữu thiết bị xác thực người dùng chứ không phải đăng nhập từ xa tùy ý mà không cần thiết bị. Đối với các phiên bản bị ảnh hưởng tương ứng của 7.1, 7.0, 6.5 và 6.4, đường cơ sở của bản vá phù hợp với các nhánh này trong bảng trên; việc xác minh phải bao gồm các phiên nút chéo và vẫn yêu cầu xác minh mã PIN/sinh trắc học. [S28](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-28) ## 5. Hệ sinh thái Python: trình thông dịch, thư viện chuẩn, framework và chứng chỉ ### 5.1 CVE-2026-19445: SSLContext UAF trong cuộc gọi lại SNI **Ngày xuất bản: 2026-09-30; Cấp độ PSF: Critical.** Trong máy chủ Python TLS, `sni_callback` chuyển kết nối sang `SSLContext` khác và khi bối cảnh ban đầu không có tài liệu tham khảo nào khác còn sót lại, TLS chưa được xác thực khách hàng có thể làm hỏng dịch vụ hoặc gọi một con trỏ trong đối tượng được phát hành. [S29](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-29) Cốt lõi là đối tượng Python không nhất quán với vòng đời gọi lại TLS cơ bản. Ngữ cảnh ban đầu đã được giải phóng và lớp bên dưới có thể vẫn giữ trạng thái cần thiết cho lệnh gọi lại; bản vá gốc của trình thông dịch cần được sử dụng để khắc phục vòng đời tham chiếu. [S47](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-47) **Scope:** Mã Python chỉ hoạt động như một máy khách TLS không bị ảnh hưởng bởi mục này; chế độ bình thường của ổ cắm nghe giữ bối cảnh ban đầu trong một thời gian dài không rơi vào đường dẫn lỗi cụ thể được mô tả trong thông báo. Sau khi Nginx chấm dứt TLS, nó chỉ chuyển giao HTTP cục bộ cho Python và Python trực tiếp xử lý SNI, đây là một bề mặt tấn công khác. [S29](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-29) Tương ứng với 3.10—3.14 phiên bản cố định, xem phần 2.3. Phiên bản chính thức của 3.15 đã được sửa chữa và 3.15.1 thực sự có thể được chọn. Chỉ cập nhật phần phụ thuộc pip không thể thay thế việc triển khai `_ssl` của trình thông dịch. [S33](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-33)[S35](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-35)[S47](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-47) **Giảm thiểu tạm thời chính thức:** giữ các tham chiếu mạnh mẽ đến tất cả SSLContext đã đặt lệnh gọi lại SNI cho đến khi kết thúc vòng đời máy chủ. Điều này cần bao gồm các đường dẫn chuyển đổi và tạo động thực tế; bản dựng OpenSSL 1.1.1 tùy chỉnh cũng phải kiểm tra các điều kiện đàm phán lại cùng với hồ sơ vấn đề chính thức và ưu tiên hoàn thành các bản cập nhật. [S29](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-29)[S47](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-47) ### 5.2 CVE-2026-19553: Cờ tên máy chủ được bật nhưng tên máy chủ bị thiếu khi gọi **Ngày công khai: 2026-09-30; High. Khi**`SSLContext.check_hostname=True`, nếu `wrap_bio()` không được thông qua trong `server_hostname`, quá trình triển khai ban đầu có thể âm thầm bỏ qua xác minh tên máy chủ. Xác minh chuỗi chứng chỉ thành công không có nghĩa là tên miền mục tiêu cũng trùng khớp. [S30](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-30) Việc khắc phục yêu cầu cả hai bước: - Cài đặt bản phát hành bảo mật trình thông dịch được liệt kê trong phần 2.3. - Kiểm tra các đường dẫn `wrap_bio()`, `asyncio.create_connection()` / `loop.start_tls()` có liên quan, chuyển rõ ràng tên máy chủ dự kiến và không trống, đồng thời luôn bật xác minh chứng chỉ. [S30](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-30) \*\*Sự khác biệt về khả năng tương thích không thể bỏ qua:\*\*3.10, 3.11, 3.12 là dành cho khả năng tương thích, chỉ `DeprecationWarning` được cấp cho một số trường hợp thiếu tên máy chủ; 3.13 và sau đó tăng `ValueError`. Backport 3.12 cũng phân biệt rõ ràng `None` với các chuỗi trống: một cảnh báo mới được thêm vào cho `None` và lỗi vẫn được báo cáo đối với các chuỗi trống. Do đó, người dùng cấp thấp không thể cho rằng việc xác minh tên miền bị thiếu ban đầu đã được khôi phục tự động chỉ bằng cách nâng cấp. [S31](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-31)[S33](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-33) Trong môi trường thử nghiệm, hãy sử dụng chứng chỉ chuỗi tin cậy có tên máy chủ không khớp và xác nhận rằng ứng dụng khách TLS thực tế từ chối chứng chỉ đó. Chỉ đọc giá trị Boolean `check_hostname` không cấu thành sự chấp nhận hoàn toàn. ### 5.3 CVE-2026-82049: Bỏ qua kết hợp liên kết trong bộ lọc tarfile **Ngày công khai: 14-09-2026; High.** Trong CPython 3.13 và các triển khai liên quan trước đó, sự kết hợp giữa các liên kết cứng và liên kết tượng trưng trong tar không đáng tin cậy có thể bỏ qua bộ lọc trích xuất `data` / `tar`, hiển thị nội dung của các tệp bên ngoài thư mục giải nén trong cây giải nén hoặc sửa đổi chúng quyền và thời gian sửa đổi. [S32](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-32) Tác động đã được xác nhận của lỗ hổng này bao gồm việc lộ nội dung tệp và sửa đổi siêu dữ liệu; riêng những tác động này là không đủ để chứng minh việc ghi đè tùy ý nội dung tệp bên ngoài hoặc việc triển khai RCE vô điều kiện. Để biết các đường cơ sở của bản vá tương ứng của 3.10—3.13, hãy xem Phần 2.3. **Python 3.14 đã được miễn khỏi vấn đề cụ thể này do những thay đổi về hành vi của `os.link()` kể từ đó 3.14.0b1**, do đó, phạm vi bị ảnh hưởng của nhánh 3.10—3.13 ở trên không áp dụng. [S33](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-33) **Các biện pháp tạm thời và chuyên sâu:** tạm dừng tự động trích xuất các kho lưu trữ không đáng tin cậy; sử dụng các quy trình riêng biệt của nhân viên có đặc quyền thấp và các thư mục độc quyền mới khi hoạt động kinh doanh phải được xử lý, từ chối các liên kết tượng trưng, ​​​​liên kết cứng và mục nhập thiết bị theo doanh nghiệp, đồng thời giới hạn số lượng tệp và tài nguyên giải nén. Đây là những khuyến nghị triển khai. `filter="data"` phù hợp với các kho lưu trữ không đáng tin cậy nói chung hơn là chiến lược tin cậy hoàn toàn, nhưng bản thân bộ lọc trên phiên bản cũ cũng mắc lỗ hổng này và chỉ thêm tham số này không thể thay thế được bản cập nhật. Bộ lọc cũng không phải là một hộp cát hệ thống tập tin đầy đủ. [S32](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-32)[S45](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-45) ### 5.4 Rủi ro bổ sung: CVE-2026-114583 (Medium) và trạng thái phát hành bản vá PSF tiết lộ trong **2026-10-22** rằng việc xử lý tên liên kết cụ thể của `tarfile.tar_filter` có thể được bỏ qua, cho phép các thành viên tiếp theo ghi bên ngoài thư mục giải nén, với mức độ **Medium**. Bản sửa lỗi chính thức PR đã được hợp nhất vào ngày hôm đó; kể từ ngày 23 tháng 10 năm 2026, chưa có bản phát hành bảo trì chính thức nào có cam kết này được xác nhận. [S40](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-40) Vì vậy: - Mục này được liệt kê riêng dưới dạng Medium. - Các phiên bản thông dịch được phát hành vào ngày 21 tháng 10 không thể được coi là có bản sửa lỗi này. - Quá trình vẫn sử dụng `filter="tar"` để xử lý các kho lưu trữ không đáng tin cậy sẽ theo dõi cổng sau phát hành; cô lập hoặc tạm dừng quá trình xử lý này trong một khoảng thời gian ngắn. Khi chuyển sang `data` và từ chối các liên kết, bạn cũng phải xác nhận rằng nó đáp ứng các yêu cầu kinh doanh và việc thay đổi bộ lọc không thể được mô tả là hộp cát vô điều kiện. ### 5.5 GeoDjango: CVE-2026-15307 và các bản sửa lỗi tiếp theo vào tháng 10 **2026-08-04, Django truy vấn không gian High.** chính thức chuyển ngầm các chuỗi/từ điển nhất định tới `GDALRaster` và trình điều khiển có thể ghi tệp hoặc khởi tạo các yêu cầu mạng; RCE có thể được hình thành khi có các đường dẫn cụ thể và các điều kiện thực hiện tiếp theo. Nhân viên có quyền xem mô hình trường không gian cũng có thể truy cập đường dẫn này thông qua danh sách thay đổi của quản trị viên. [S38](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-38) Bản sửa lỗi ban đầu là **5.2.17 / 6.0.8**, hạn chế các loại đầu vào được chấp nhận bởi tra cứu không gian. Thay đổi này có thể ảnh hưởng đến hoạt động ban đầu của việc sử dụng chuỗi/từ điển để thể hiện raster; chỉ gói đầu vào không đáng tin cậy vào GDALRaster không có nghĩa là xác minh nó. [S38](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-38) Vào ngày 6 tháng 10, **CVE-2026-87890 (Trung bình)** đã được sửa chữa: VRT được biểu thị bằng byte có thể tham chiếu các tài nguyên bên ngoài và vẫn kích hoạt các yêu cầu mạng; cùng ngày, khả năng bảo vệ DoS hình học lồng nhau của CVE-2026-15830 cũng được tăng cường. Không thể nâng cấp hai cái sau để mô tả RCE có rủi ro cao mới, nhưng chỉ ra rằng đường cơ sở triển khai phải là **5.2.18 / 6.0.9 / 6.1.2**. [S39](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-39) Việc triển khai sẽ kiểm tra hai điểm vào của API và giao diện quản trị, hạn chế tra cứu không gian không đáng tin cậy, quyền ghi tệp và quyền truy cập ra bên ngoài; sau khi cập nhật, kiểm tra hồi quy các truy vấn không gian hợp lệ và từ chối đầu vào bị cấm. Các ứng dụng Django thông thường không sử dụng GeoDjango không nên áp dụng trực tiếp kết luận RCE này. ### 5.6 certifi / pip: Chứng chỉ tin cậy phải bao gồm mọi bản sao **GHSA-6q48-6c7w-9gw2 , 2026-10-20, Critical , đã biết CVE không được liệt kê.** Đây là bản cập nhật không tin cậy chứng chỉ do eMudhra trung cấp CA sự cố. Không thể tóm tắt là cơ chế mã hóa của HTTPS hay tất cả chứng chỉ gốc đã bị bẻ khóa. [S36](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-36) Tư vấn certifi ban đầu liệt kê **2026.10.18** là một bản vá; PSF sau đó đã khuyến nghị rõ ràng **2026.10.19** để duy trì khả năng tương thích với các chứng chỉ gốc không bị ảnh hưởng. Đường cơ sở hoạt động là 0,19. [S36](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-36)[S37](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-37) Cần phân biệt: | Vị trí vật liệu tin cậy | Tại sao bạn cần kiểm tra riêng | | -------------------------------------------------- | ---------------------------------------------------------------------------- | | Gói hệ điều hành CA | Tài liệu tin cậy của hệ thống cho hình ảnh hoặc máy chủ | | certifi ở venv | CA bundle thực sự được sử dụng bởi các ứng dụng hoặc Yêu cầu, v.v. | | pip tích hợp certifi | Là bản sao khác với certifi được cài đặt bên ngoài | | uv / Dụng cụ đóng gói khác | Theo dõi các cập nhật của chính công cụ và các nguồn đáng tin cậy | | Các tệp CA tùy chỉnh, ảnh chụp nhanh được đóng gói | Có thể tiếp tục ghi đè các nguồn đáng tin cậy mặc định cho hệ thống hoặc gói | Trên đây là danh sách kiểm tra dựa trên các địa điểm đóng gói khác nhau. PSF yêu cầu cập nhật các công cụ liên quan, môi trường ảo hiện có và xây dựng lại hình ảnh; chỉ cập nhật máy chủ CA hoặc cài đặt lại trình thông dịch không thể chứng minh rằng tất cả các bản sao đã được làm mới. [S35](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-35)[S37](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-37) Khi nâng cấp từ bootstrap an toàn pip cũ, PSF cung cấp các lệnh cho bánh xe **fixed và SHA-256**, xem phụ lục S37. Không tắt xác minh TLS hoặc thêm `--trusted-host` để bỏ qua các vấn đề về chứng chỉ. ## 6. Quy trình khắc phục chính thức Các lệnh sau dành cho môi trường đáng tin cậy đã được xác nhận. Khi thực thi, nên kết hợp trình quản lý gói hiện có, tệp khóa và quy trình triển khai của dự án để tránh trộn lẫn npm/pnpm/yarn hoặc pip/uv/Poetry để tạo ra các tệp khóa xung đột. **Xử lý ngoại lệ trước:** Nếu bạn nghi ngờ rằng môi trường đã chạy gói bị xâm phạm trong Phần 9, trước tiên hãy cách ly nó và kiểm tra đĩa, khóa tệp và bản ghi hình ảnh từ một môi trường sạch; trước tiên không chạy lệnh Python/pip sau. [S41](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-41) ### 6.1 Thiết lập sổ cái có thể tương ứng với lưu lượng truy cập thực Mỗi dịch vụ ghi lại ít nhất: - Điểm vào bên ngoài, proxy ngược, đường dẫn kết nối trực tiếp đến trang gốc và hàng đợi nền/tác vụ theo lịch trình. - Lệnh khởi động thực tế, tài khoản đang chạy, đường dẫn nhị phân, quy trình hoặc danh tính vùng chứa. - Phiên bản đầy đủ thời gian chạy, nhà xuất bản/kho lưu trữ, phiên bản gói đầy đủ hoặc thông báo hình ảnh. - Các phần phụ thuộc khung và bắc cầu, tệp khóa, thư viện gốc và đường dẫn lưu trữ tin cậy. - Tương ứng với việc tình trạng lỗ hổng có tồn tại hay không, mục tiêu vá lỗi, phạm vi khởi động lại, người chịu trách nhiệm và kết quả xác minh. Máy phát triển, trình chạy CI, bộ chứa xây dựng và tác vụ nền cũng cần được kiểm tra theo đường dẫn của chúng đến nội dung không đáng tin cậy; không chỉ cập nhật vùng chứa web công khai. ### 6.2 Node.js: Xác định thời gian chạy trước, sau đó cập nhật các phần phụ thuộc của ứng dụng Kiểm tra môi trường dịch vụ thực tế: ```bash node -p 'JSON.stringify({execPath:process.execPath,node:process.version,openssl:process.versions.openssl,brotli:process.versions.brotli},null,2)' npm ls next react react-dom react-server-dom-webpack react-server-dom-parcel react-server-dom-turbopack sharp --all npm audit --omit=dev ``` `node -p` phải được thực thi bằng cách sử dụng tệp thực thi thực tế của dịch vụ hoặc trong một vùng chứa thực tế; nó kiểm tra các quy trình mới được khởi chạy và bản thân nó không chứng minh rằng trình chạy cũ đã được thay thế. Node có thể thêm bản vá vào Brotli tích hợp trong khi vẫn giữ lại chuỗi phiên bản thư viện gốc. Do đó, đừng chỉ dựa vào `process.versions.brotli` để xác định xem nó đã được sửa chữa hay chưa. Bạn nên kết hợp nó với phiên bản bảo mật Node hoặc bằng chứng backport của nhà cung cấp. [S2](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-2)[S4](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-4) `npm ls` được sử dụng để xem cây phụ thuộc thực tế; các gói bị thiếu hoặc xung đột ngang hàng cũng có thể tạo ra mã thoát khác 0, vì vậy bạn nên đọc kết quả đầu ra cụ thể. `npm audit` được sử dụng làm công cụ hỗ trợ kiểm tra phụ thuộc và không thể thay thế việc kiểm tra thư viện gốc và nhị phân Node. Sử dụng **mise để quản lý môi trường của Node 24**, có thể cập nhật như sau: ```bash mise use -g node@24.22.1 mise exec node@24.22.1 -- node -p 'process.version + " " + process.execPath' ``` `mise use -g` cấu hình phiên bản toàn cầu; cấu hình cục bộ của dự án vẫn cần được kiểm tra riêng. Nếu dịch vụ đã sửa đường dẫn tuyệt đối cũ, hình ảnh cơ sở vùng chứa hoặc môi trường của một tài khoản khác thì cấu hình tương ứng phải được cập nhật và dịch vụ phải được khởi động lại. Bản thân lệnh không thay thế một tiến trình đang chạy cũ. [S43](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-43) Trong dự án Next, thực hiện lệnh tương ứng theo nhánh đã chọn. Đối với Next 15: ```bash # Next 15 分支 npm install --save-exact next@15.5.28 ``` Đối với Next 16: ```bash # Next 16 分支 npm install --save-exact next@16.4.1 ``` Kiểm tra các phần phụ thuộc tương thích React/RSC, các tệp khóa và phiên bản sắc nét cuối cùng, sau đó xây dựng theo quy trình dự án. Sử dụng tệp khóa được cập nhật trong CI để cài đặt có thể lặp lại và kiểm tra phiên bản trong hình ảnh đang chạy sau khi xây dựng. Không sử dụng tính năng sửa chữa tự động không kiểm soát trên các phiên bản chính làm giải pháp mặc định cho trường hợp khẩn cấp này. ### 6.3 Java: Xác minh nhà xuất bản, JVM thực tế và các thành phần được nhúng Kiểm kê sơ bộ: ```bash java -XshowSettings:properties -version ``` `java.home`, `java.runtime.version` và nhà xuất bản ở đầu ra phải phù hợp với JVM mà dịch vụ thực sự sử dụng. Đối với JVM có quyền đính kèm, `jcmd` của JDK có thể được sử dụng để kiểm tra quy trình đích, không chỉ shell đăng nhập. Kiểm tra các phần phụ thuộc trong các dự án đáng tin cậy và chọn dựa trên các công cụ xây dựng thực tế: ```bash ./mvnw dependency:tree '-Dincludes=org.apache.tomcat.embed:*,org.springframework.security:*,org.springframework.graphql:*' ./gradlew dependencyInsight --dependency tomcat-embed-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-security-core --configuration runtimeClasspath ./gradlew dependencyInsight --dependency spring-graphql --configuration runtimeClasspath ``` Các lệnh xây dựng này có thể thực thi các phần bổ trợ và giải quyết các phần phụ thuộc trực tuyến và chỉ chạy trên các dự án đáng tin cậy. Kiểm tra JAR/WAR cuối cùng hoặc JAR thực tế trong hình ảnh và không thay thế các khai báo tệp xây dựng cho tạo phẩm cuối cùng. Spring Boot được nhúng Tomcat yêu cầu xây dựng lại ứng dụng; cập nhật cài đặt Tomcat riêng trong hệ thống sẽ không sửa đổi bản sao trong gói ứng dụng. Sau khi thời gian chạy được cập nhật, hãy kiểm tra `javax.net.ssl.trustStore` tùy chỉnh, KeyStore tự tải ứng dụng, thời gian chạy jlink, GraalVM/hình ảnh gốc và các biểu mẫu phân phối khác theo từng mục. Các ứng dụng đã có tài liệu tin cậy được tùy chỉnh không thể kết thúc quá trình kiểm tra chỉ vì thư mục JDK trở nên mới. ### 6.4 Python: Phiên dịch theo phiên dịch và xử lý môi trường ảo Trong venv/container thực tế được xác nhận là đáng tin cậy: ```bash python - <<'PY' import sys import ssl import importlib.metadata as metadata print("executable:", sys.executable) print("version:", sys.version) print("openssl:", ssl.OPENSSL_VERSION) print("verify_paths:", ssl.get_default_verify_paths()) for name in ("pip", "certifi", "Django", "urllib3", "Brotli", "litellm"): try: print(name + ":", metadata.version(name)) except metadata.PackageNotFoundError: print(name + ": not installed") PY python -m pip --version python -m pip check ``` Tập lệnh này chỉ thu thập thông tin và không thực hiện xác định tiêu chuẩn phiên bản. `ssl.get_default_verify_paths()` là thông tin đường dẫn mặc định và không thể chứng minh rằng tất cả khách hàng bên thứ ba đều sử dụng cùng một kho lưu trữ tin cậy; nó cần được xác nhận dựa trên cấu hình ứng dụng. Sau khi hoàn thành nâng cấp khởi động pip đáng tin cậy của phụ lục S37, hãy cập nhật các phần phụ thuộc của chứng chỉ theo các ràng buộc của dự án, ví dụ: ```bash python -m pip install --upgrade 'certifi>=2026.10.19' # 仅适用于当前就选择 Django 5.2 的项目 python -m pip install --upgrade 'Django>=5.2.18,<5.3' python -m pip check ``` Tệp yêu cầu/khóa của dự án cần phải được cập nhật cùng lúc, nếu không lần triển khai tiếp theo có thể trở lại phiên bản cũ. Khi sử dụng uv, Thơ hoặc kho lưu trữ gói doanh nghiệp, hãy sử dụng quy trình khóa và xuất bản hiện có của chúng; không sửa đổi các gói theo cách thủ công ngay trong vùng chứa sản xuất. Quy trình công việc `pip-audit` hiện tại của dự án có thể được sử dụng để kiểm tra các lỗ hổng phụ thuộc đã biết trong một môi trường đáng tin cậy; nó không phải là một trình quét mã độc hại và không bao gồm tất cả các rủi ro về trình thông dịch, thư viện hệ thống và cửa hàng tin cậy. [S44](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-44) **Không nên buộc hệ thống `/usr/bin/python3` trỏ đến một phiên bản được biên dịch mới.** Sử dụng các bản cập nhật bảo mật phát hành hoặc thời gian chạy cách ly dự án để tránh phá vỡ các công cụ quản lý dựa trên hệ thống Python. Đây là một lựa chọn triển khai và không phải là yêu cầu khắc phục bổ sung cho lỗ hổng này. ### 6.5 Xây dựng lại và thay thế phiên bản đang chạy Chúng tôi khuyên bạn nên thực hiện các bước sau để thay đổi hoàn toàn: 1. Lấy bản vá từ nguồn đáng tin cậy ban đầu và lưu phiên bản/băm và khóa phụ thuộc. 2. Trả lại các chức năng chính trong môi trường gần như sản xuất và xác nhận rằng các tiện ích mở rộng gốc tương thích với JVM/framework. 3. Cập nhật thời gian chạy, các phần phụ thuộc của ứng dụng và kho lưu trữ tin cậy thực tế; làm mới hình ảnh cơ sở và hệ thống CA cho vùng chứa, không chỉ sử dụng lại lớp cũ. 4. Xây dựng lại các ứng dụng và hình ảnh, đồng thời thay thế các phiên bản dịch vụ, nhân viên, người tiêu dùng xếp hàng và tác vụ theo lịch trình trên cơ sở luân phiên. 5. Kiểm tra lại phiên bản và cấu hình trong phiên bản đang chạy mới và xác nhận rằng tất cả các bản sao cũ đã thoát. 6. Quan sát tỷ lệ lỗi, độ trễ, CPU/bộ nhớ, lỗi bắt tay TLS và sự cố xử lý. Việc khôi phục phải ưu tiên duy trì thời gian chạy an toàn và các phần phụ thuộc của bản vá cũng như khôi phục cấu hình ứng dụng hoặc các thay đổi trong kinh doanh. Nếu bạn phải quay lại một sản phẩm cũ có lỗ hổng, các hạn chế nhập cảnh tương ứng phải được khôi phục đồng thời, đồng thời phải xác định rõ người chịu trách nhiệm và thời gian phục hồi tối thiểu. ## 7. Lựa chọn bản vá và giảm nhẹ tạm thời ### 7.1 Ranh giới phủ sóng của các biện pháp tạm thời Sau đây là các đề xuất triển khai dựa trên các điều kiện sử dụng đã công bố. Trừ khi có ghi chú về kế hoạch chính thức, nhà cung cấp không đảm bảo rằng tất cả các biến thể có thể bị chặn hoàn toàn. | rủi ro | Các biện pháp tạm thời có thể được thực hiện | Phần không thể được coi là hoàn thành dựa trên điều này | | -------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------ | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Giải mã Brotli | Dừng giải mã đầu vào không đáng tin cậy; kiểm tra giải nén tự động vào và ra | WAF gửi đến hoặc tắt tính năng nén phản hồi không bao gồm tất cả các mục giải mã [S3](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-3) | | Next.js typed arrays RCE | Nâng cấp ngay lập tức; tạm thời cách ly các dịch vụ bị ảnh hưởng nếu cần thiết | Không có cách giải quyết chung đáng tin cậy chính thức [S9](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-9) | | Next.js SVG RCE | Kế hoạch chính thức: Đảm bảo độ sắc nét thực tế ≥0.35.5; tạm dừng các điểm truy cập tối ưu hóa có liên quan khi giấy phép kinh doanh | Không bao gồm các vấn đề Next/RSC khác [S11](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-11) | | Vương quốc Tomcat / HTTP/2 / AJP | Cô lập đường dẫn tương ứng và đóng các đầu nối không cần thiết | Vẫn cần gói sửa chữa nhánh tương ứng [S21](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-21)[S22](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-22)[S23](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-23) | | Khử lưu huỳnh GraphQL | Tạm dừng các trường Kết nối bị ảnh hưởng; hạn chế người gọi không đáng tin cậy | Chỉ giới hạn độ dài yêu cầu không thể khắc phục sự cố loại/khử tuần tự hóa [S25](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-25) | | Spring embedded LDAP | Tắt khi không cần thiết; giới hạn phạm vi tiếp cận của cổng nghe thực sự | Danh tính quản trị mặc định và tính toàn vẹn của thư mục vẫn cần được kiểm tra [S27](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-27) | | CPython SNI UAF | Gói chính thức: Giữ tham chiếu mạnh SSLContext có liên quan cho đến khi kết thúc dịch vụ | Tất cả các đường dẫn tạo/chuyển đổi phải được che phủ [S29](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-29) | | Bỏ qua tên máy chủ Python | Giải pháp chính thức: Truyền chính xác server\_hostname dự kiến | Không thể chỉ kiểm tra cờ check\_hostname hoặc bỏ qua cảnh báo [S30](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-30)[S31](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-31) | | Dầu hắc ín không đáng tin cậy | Vô hiệu hóa/cách ly trích xuất, từ chối các liên kết và mục nhập thiết bị không cần thiết | Cả bộ lọc lẫn hạn ngạch tài nguyên đều không phải là hộp cát phổ quát [S32](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-32)[S40](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-40)[S45](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-45) | | Sự kiện ủy thác chứng chỉ | Cập nhật tài liệu CA chính xác; Sự tin cậy của Java có thể bị hạn chế theo biện pháp giảm nhẹ chính thức | Vô hiệu hóa xác minh TLS làm tăng rủi ro [S19](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-37) | ### 7.2 Chọn bản vá dựa trên phương thức phân phối | Phương thức giao hàng | Ưu tiên các phương pháp sửa chữa | Bằng chứng cần được lưu giữ | | ------------------------------------------------ | ------------------------------------------------------------------------------------------------------- | --------------------------------------------------------------------------------------- | | Thời gian chạy được quản lý phân phối | Cập nhật bảo mật tương ứng của nhà sản xuất | Phiên bản trọn gói, thông báo, nguồn kho | | Trình quản lý nhị phân/thời gian chạy chính thức | Bản phát hành bảo mật chính thức từ cùng một chi nhánh | Phiên bản, nguồn và thông báo, đường dẫn thực thi thực tế | | Node / CPython tự biên soạn | Bản phát hành nguồn chính thức của chi nhánh phù hợp hoặc bộ bản vá hoàn chỉnh của nhà cung cấp | Bộ cam kết, xây dựng tham số, thư viện phụ thuộc và kết quả hồi quy | | Spring / Next / Django | Tương thích với các bản cập nhật trong nhánh, xây dựng lại các khóa phụ thuộc và các ứng dụng cuối cùng | Cây phụ thuộc cuối cùng, phiên bản thực tế trong JAR/gói/hình ảnh | | Cửa hàng ủy thác tùy chỉnh | Kế hoạch rút tiền chính thức hoặc cập nhật nhà cung cấp xác nhận việc rút tiền | Lộ trình sử dụng thực tế, thay đổi vật liệu, thử nghiệm thành công và từ chối TLS | | Một môi trường bị xâm phạm | Xây dựng lại từ các sản phẩm sạch và đáng tin cậy và tiến hành điều tra sự cố riêng biệt | Thông báo gói/hình ảnh lịch sử, bản ghi cài đặt, bản ghi luân chuyển thông tin xác thực | ### 7.3 Cơ chế vá key và trọng tâm đánh giá - **Brotli:** chú ý đến việc kiểm tra ranh giới và trả về lỗi của trạng thái giải mã gốc đã hoàn tất hay chưa trước khi vào bản dựng; chỉ thay thế gói JavaScript không thể thay đổi mã được biên dịch tĩnh thành Node. [S4](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-4) - **Node DNS/TLS:** tập trung vào từ chối đầu vào, chuẩn hóa địa chỉ, phân biệt giữa nhận dạng IP SAN và DNS và cuộc gọi lại/Lời hứa DNS Đường dẫn phân tích cú pháp và Kiểm tra trùng khớp tên máy chủ TLS. [S5](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-5)[S6](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-6) - **Tomcat JNDIRealm:** tập trung vào việc liệu quá trình xác thực có thực sự xác minh thông tin xác thực hay không, thay vì chỉ lấy bối cảnh thư mục; ưu tiên phiên bản chính thức và không coi việc thay thế tệp nguồn đơn lẻ là một bản vá nhị phân hoàn chỉnh. [S24](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-24) - **CPython ssl:** tập trung vào quyền sở hữu tham chiếu Python và vòng đời của SSLContext cơ bản; `wrap_bio()` backport trong khi có những khác biệt về khả năng tương thích của nhánh và bạn phải đọc cách triển khai thực tế của nhánh được sử dụng. [S31](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-31)[S47](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-47) - **Certificate distrust:** Các cập nhật như vậy có thể xuất hiện dưới dạng tài liệu đáng tin cậy hoặc từ chối thay đổi danh sách thay vì thay đổi API rõ ràng. Lô Node tương tự cũng bao gồm cơ chế từ chối của CA trung gian bị ảnh hưởng; các nguồn tin cậy tương ứng của Java và Python vẫn cần được xác minh riêng. [S19](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-19)[S37](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-37)[S46](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-46) \*\*Liên kết Brotli độc lập cũng nên được kiểm tra.\*\*Google ngược dòng đã phát hành **1.0.10 / 1.1.1 / 1.2.1** trong cùng ngày để khắc phục CVE-2026-111497. Các phần mở rộng gốc Python hoặc các tạo phẩm JNI nhúng cùng hoạt động triển khai C bị ảnh hưởng cần được cập nhật/xây dựng lại một cách độc lập; không thể suy ra rằng tất cả các bộ giải mã Java thuần túy đều bị ảnh hưởng, cũng như không thể giả định rằng việc nâng cấp Node sẽ tự động thay thế các bản sao ở các ngôn ngữ khác. [S42](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-42) ## 8. Xác minh và kiểm tra theo dõi ### 8.1 Danh sách kiểm tra xác minh tối thiểu | Kiểm tra các mục | Yêu cầu bằng chứng | | ---------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | thời gian chạy | Phiên bản đầy đủ hoặc bằng chứng phản hồi của nhà cung cấp chính xác trong quy trình/vùng chứa thực tế | | phụ thuộc ứng dụng | Next/RSC/sharp, Tomcat/Spring và Django/certifi trong các sản phẩm triển khai cuối cùng đã đạt đến ngưỡng tương ứng | | Phạm vi thay thế | Tất cả các bản sao và tác vụ nền của worker/JVM/container đã được thay thế bằng các bản sao mới và các phiên bản cũ đã thoát. | | TLS | Chứng chỉ tên miền hợp lệ thành công; tên máy chủ không khớp và chuỗi không hợp lệ không hoạt động theo chính sách; cửa hàng ủy thác tùy chỉnh được bao gồm | | eMudhra không tin tưởng | Chuỗi chứng chỉ do CA trung gian bị ảnh hưởng xây dựng đã bị từ chối trong thời gian chạy thực tế hoặc có bằng chứng cho thấy danh sách từ chối tương ứng/bản dựng bảo mật của nhà cung cấp cụ thể đã được triển khai; không thể đóng thùng máy dựa trên thử nghiệm TLS chung hoặc số phiên bản ngắn Java 8. | | Giải mã và hình ảnh Node | Có sẵn các chức năng phản hồi nén, tải lên, tối ưu hóa hình ảnh và RSC thông thường; chính sách nguồn không đáng tin cậy đang có hiệu lực | | Xác thực và cách ly Java | Mật khẩu sai bị từ chối; các yêu cầu không đồng bộ đồng thời của người dùng độc lập mà không có sự trộn lẫn danh tính/phản hồi; Nghe LDAP như mong đợi | | Python SNI / Lưu trữ | Tên đa miền TLS thông thường hoạt động kinh doanh ổn định; việc lưu trữ từ chối truyền tải đường dẫn và các liên kết không được phép, đồng thời các tệp bên ngoài thư mục không được sửa đổi | | Hồi quy dữ liệu và chức năng | Phân trang, truy vấn không gian, kiểm tra quyền và các tác vụ nền đã vượt qua các thử nghiệm hiện có của dự án | | Tài nguyên và quan sát | Không có sự gia tăng bất thường nào về CPU, bộ nhớ, tỷ lệ lỗi, độ trễ và lỗi TLS. | | Truy xuất nguồn gốc | Tiết kiệm thời gian nâng cấp, thông báo gói/hình ảnh, thay đổi cấu hình, kết quả xác minh và các mục chưa được giải quyết | Đây là các khuyến nghị chấp nhận triển khai và không yêu cầu tạo tập lệnh tấn công cho mỗi CVE. Việc xác minh liên quan đến sự cố, cạn kiệt tài nguyên và lưu trữ ngoài giới hạn nên sử dụng thử nghiệm hồi quy ngược dòng hoặc dữ liệu thử nghiệm do dự án kiểm soát trong môi trường biệt lập. ### 8.2 Điều tra việc vá lỗi và xâm nhập là những nhiệm vụ khác nhau Kiểm tra nhật ký hiện có để tìm lỗi giải mã bất thường, sự cố của worker/JVM, ghi tệp đáng ngờ, thay đổi dữ liệu thư mục, ngoại lệ xác thực, yêu cầu gửi đi và hồ sơ sử dụng thông tin xác thực. Những dấu hiệu này cần được đánh giá trong bối cảnh: sự cố hoặc OOM không phải là bằng chứng cho việc khai thác thành công; việc không có cảnh báo không chứng tỏ rằng hệ thống không bị ảnh hưởng. Khi phát hiện thấy các sửa đổi trái phép, thông tin xác thực bị xâm phạm hoặc các phần phụ thuộc độc hại đã được xác nhận, bằng chứng phải được lưu giữ, cách ly các trường hợp liên quan, thông tin xác thực bị ảnh hưởng được luân chuyển khỏi môi trường đáng tin cậy và hệ thống được xây dựng lại. Bản vá sẽ không thu hồi mã thông báo mà kẻ tấn công đã lấy được hoặc khôi phục dữ liệu đã bị sửa đổi. ## 9. Sự cố bảo mật chuỗi cung ứng: Thỏa hiệp LiteLLM 1.107.0 \*\*Ngày xác nhận chính thức: 21-10-2026.\*\*LiteLLM đã báo cáo rằng quy trình phát hành của nó đã bị xâm phạm. **litellm==1.107.0** của PyPI và một số sản phẩm Docker/GHCR cùng thời có chứa mã độc đánh cắp bí mật và điều khiển từ xa, đồng thời các sản phẩm liên quan đã bị thu hồi. [S41](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-41) Để xác định tác động, bạn nên kiểm tra hồ sơ cài đặt lịch sử và bản tóm tắt hình ảnh; các nhãn như `latest`, `main-latest` và `main-stable` hiện đề cập đến hình ảnh sạch, điều này không chứng minh rằng sản phẩm được lấy tại thời điểm xảy ra sự cố là sạch. Khuyến nghị chính thức vào thời điểm đó là tạm thời ghim **1.106.2**; khuyến nghị này dựa trên sự cố này và các thông báo bảo mật khác vẫn cần được kiểm tra trong quá trình triển khai. [S41](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-41) Đối với môi trường nơi các sản phẩm liên quan đã được cài đặt hoặc chạy: 1. Cô lập và bảo quản hồ sơ, hình ảnh và nhật ký cài đặt, đồng thời kiểm tra chúng từ môi trường sạch sẽ. 2. **DTrước tiên, không khởi động Python/pip** trong môi trường đáng ngờ; `.pth` / `sitecustomize.py` độc hại có thể được thực thi lại sau khi khởi động. 3. Xây dựng lại máy chủ, venv/container từ các nguồn đáng tin cậy; không thể gỡ cài đặt hoặc hạ cấp gói. 4. Thu hồi/xoay chuyển thông tin xác thực trên đám mây, khóa nhà cung cấp LLM, khóa LiteLLM và thông tin xác thực cơ sở dữ liệu dựa trên khả năng truy cập thực tế và xem xét việc sử dụng bất thường. [S41](https://keendigit.com/vi/insights/node-java-python-security-remediation-guide#source-41) Đây là một sự cố trong chuỗi cung ứng đã được xác nhận và cần phải xem xét việc thực thi mã độc, rò rỉ thông tin xác thực cũng như các rủi ro dai dẳng khi xử lý. Tính đến ngày 23 tháng 10 năm 2026, các quan chức vẫn đang điều tra vụ xâm nhập ban đầu. ## Phụ lục: Nguồn và link được trích dẫn Ngày xác minh nguồn sau đây là **2026-10-23**, bao gồm thông báo bảo mật chính thức của dự án, kho lưu trữ mã chính thức và hướng dẫn của nhà cung cấp. Nội dung chính \[Sx] tương ứng với phụ lục này; khi thực hiện cập nhật, bạn nên kiểm tra xem nhà cung cấp có phát hành các bản sửa đổi tiếp theo hay không. ### S1 — Node.js: Thông báo bảo mật 2026-10-21 - Mục đích: Bốn thời gian chạy High, ảnh hưởng đến các nhánh, phát hành bảo mật tháng 10. - Nguồn tham khảo: [Official Security Bulletin](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases) ### S2 — Node.js: Hướng dẫn phát hành chính thức cho ba dòng bảo trì - Mục đích: Kiểm tra 22.23.4, 24.22.1, 26.12.1 và các bản vá được hợp nhất thực tế. - Nguồn tham khảo: [Node.js 22.23.4](https://nodejs.org/en/blog/release/v22.23.4/) - Nguồn tham khảo: [Node.js 24.22.1](https://nodejs.org/en/blog/release/v24.22.1/) - Nguồn tham khảo: [Node.js 26.12.1](https://nodejs.org/en/blog/release/v26.12.1/) ### S3 — Vercel: Tư vấn bảo mật Node.js Brotli RCE - Mục đích: Điều kiện giải mã vào/ra, ranh giới phủ sóng WAF, trạng thái Node 20. - Nguồn tham khảo: [Node.js security advisory: Brotli decoder RCE](https://vercel.com/kb/bulletin/node-js-security-advisory) ### S4 — Node.js: Gửi bản vá chính thức của Brotli - Mục đích: Cơ sở thực hiện việc kiểm tra giải mã gốc và lan truyền lỗi. - Nguồn tham khảo: [Brotli Patch commit 49dff6f57a](https://github.com/nodejs/node/commit/49dff6f57a) ### S5 — Node.js: Bản vá chuẩn hóa địa chỉ TLS - Mục đích: Xác minh danh tính chứng chỉ của các số có chiều rộng đầy đủ và IP không chuẩn. - Nguồn tham khảo: [IP normalization regression Patch](https://github.com/nodejs/node/commit/935918e342) - Nguồn tham khảo: [rejects the patching of non-standard IP address](https://github.com/nodejs/node/commit/de49c913f2) ### S6 — Node.js: Bản vá xác minh DNS NUL - Mục đích: Phạm vi từ chối đầu vào và hồi quy. - Nguồn tham khảo: [dns.resolve Input verification patch](https://github.com/nodejs/node/commit/843a1627dc) ### S7 — Node.js: Thông báo bảo mật 2026-07-29 - Mục đích: HTTP/2 cạn kiệt bộ nhớ, UAF và các lỗ hổng mô hình quyền. - Nguồn tham khảo: [July 2026 Security Releases](https://nodejs.org/en/blog/vulnerability/july-2026-security-releases) ### S8 — Next.js: bản cập nhật bảo mật 2026-10-14 - Mục đích: Thống nhất đường cơ sở nâng cấp và ba rủi ro chính. - Nguồn tham khảo: [Next.js Security Update for Upstream Vulnerabilities](https://nextjs.org/blog/nextjs-security-update-october-14-2026) ### Nguồn tham khảo: S9 — Next.js：typed arrays / use cache RCE - Mục đích: GHSA-673q-mjm6-r5xr; ảnh hưởng đến khoảng thời gian, điều kiện, điểm số và trạng thái giải pháp. - Nguồn tham khảo: [Next.js Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-673q-mjm6-r5xr) ### Nguồn tham khảo: S10 — React：React Server Components RCE - Mục đích: GHSA-xqc2-xf4c-x3h3; phiên bản bị ảnh hưởng và sửa lỗi của ba gói RSC. - Nguồn tham khảo: [React Official Security Bulletin](https://github.com/react/react/security/advisories/GHSA-xqc2-xf4c-x3h3) ### Nguồn tham khảo: S11 — Next.js：SVG Image Optimization RCE - Mục đích: CVE-2026-96889 / GHSA-2464-fhr4-w9xw; glibc, ranh giới phiên bản sắc nét và nguyên bản. - Nguồn tham khảo: [SVG Image Optimization Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2464-fhr4-w9xw) ### Nguồn tham khảo: S12 — Next.js：Server Actions DoS - Mục đích: GHSA-p3m5-59mp-jv5r; ảnh hưởng đến điều kiện, phiên bản và xếp hạng. - Nguồn tham khảo: [Server Actions DoS Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p3m5-59mp-jv5r) ### S13 — Next.js: AVIF Tối ưu hóa hình ảnh RCE - Mục đích: 25-08-2026, GHSA-2xp9-vwfh-vxw4. - Nguồn tham khảo: [AVIF Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-2xp9-vwfh-vxw4) ### Nguồn tham khảo: S14 — Next.js：Windows RCE - Mục đích: 25-08-2026, CVE-2026-75604/GHSA-p293-qw3h-jr36. - Nguồn tham khảo: [Windows RCE Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-p293-qw3h-jr36) ### Nguồn tham khảo: S15 — Next.js：next/og ImageResponse RCE - Mục đích: 22-09-2026, GHSA-vcvr-r3jv-pc5j; Sự khác biệt giữa Node và Edge. - Nguồn tham khảo: [ImageResponse Official Security Bulletin](https://github.com/vercel/next.js/security/advisories/GHSA-vcvr-r3jv-pc5j) - Nguồn tham khảo: [September 22 release notes](https://nextjs.org/blog/nextjs-security-update-september-22-2026) ### Nguồn tham khảo: S16 — Oracle: October 2026 CPU - Mục đích: Ma trận rủi ro Java SE, số lượng bản vá và các điều kiện áp dụng. - Nguồn tham khảo: [Oracle Critical Patch Update – October 2026](https://www.oracle.com/security-alerts/cpuoct2026.html) - Nguồn tham khảo: [Oracle Java SE CPU Version list](https://docs.oracle.com/en-us/iaas/releasenotes/java-management/jdk-cpu-october-2026.htm) ### S17 — Oracle: CVE-2026-91403 báo động ngoài băng tần - Mục đích: 21-10-2026, rủi ro tin cậy của chứng chỉ JSSE, các sản phẩm bị ảnh hưởng và CVSS 3.1 9.1. - Nguồn tham khảo: [Oracle Security Alert](https://www.oracle.com/security-alerts/alert-cve-2026-91403.html) ### S18 — Oracle: JDK phiên bản chính thức và tải xuống - Mục đích: Phân biệt CPU ngày 20/10 và phiên bản ngoài băng ngày 21/10; phân biệt những hạn chế của phiên bản ngắn Java 8. - Nguồn tham khảo: [JDK release list](https://ops.java/releases/) - Nguồn tham khảo: [Oracle Java Download page](https://www.oracle.com/java/technologies/downloads/) ### S19 — Oracle: eMudhra kế hoạch rút tiền tạm thời - Mục đích: Cập nhật 22-10-2026; hai chứng chỉ gốc, keytool, kho tin cậy tùy chỉnh và kiểm tra thu hồi. - Nguồn tham khảo: [Distrusting eMudhra Intermediate Certificates in Oracle JDK](https://ops.java/emudhra) ### S20 — Eclipse Adoptium: Bản ghi bản phát hành - Mục đích: Temurin được đóng gói lại do sự cố chứng chỉ; không thể áp dụng hậu tố phiên bản Oracle một cách máy móc. - Nguồn tham khảo: [Adoptium Release Scorecards](https://github.com/adoptium/adoptium/wiki/Adoptium-Release-Scorecards) ### S21 — Thông báo bảo mật Apache Tomcat 9 - Mục đích: Khoảng thời gian bị ảnh hưởng chính xác 9 nhánh với bản sửa lỗi 9.0.123. - Nguồn tham khảo: [Tomcat 9 vulnerabilities](https://tomcat.apache.org/security-9.html) ### S22 — Thông báo bảo mật Apache Tomcat 10 - Mục đích: Khoảng thời gian chính xác của nhánh 10.1 và sửa chữa 10.1.61; 10.0 EOL. - Nguồn tham khảo: [Tomcat 10 vulnerabilities](https://tomcat.apache.org/security-10.html) ### S23 — Thông báo bảo mật Apache Tomcat 11 - Mục đích: Ba mục Important, 11.0.27, AJP phạm vi áp dụng và ngày tiết lộ/phát hành. - Nguồn tham khảo: [Tomcat 11 vulnerabilities](https://tomcat.apache.org/security-11.html) ### S24 — Apache Tomcat: Cam kết bản vá JNDIRealm - Mục đích: Cơ sở chính thức để sửa chữa những thiếu sót trong việc xác minh chứng nhận. - Nguồn tham khảo: [JNDIRealm Patch commit](https://github.com/apache/tomcat/commit/e43453fc04abb44f64faf571ca98af71aa3c20a1) ### Nguồn tham khảo: S25 — Spring：GraphQL CVE-2026-59285 - Mục đích: 2026-08-20, Bắt buộc, 2.0.5 OSS / 2.0.4.1 Sửa chữa thương mại. - Nguồn tham khảo: [Spring for GraphQL Unsafe Deserialization](https://spring.io/security/cve-2026-59285/) ### Nguồn tham khảo: S26 — Spring：GraphQL CVE-2026-41699 - Mục đích: Ngưỡng sửa lỗi sớm hơn, chỉ để giải thích lý do tại sao bạn không thể duy trì ở mức cơ bản cũ. - Nguồn tham khảo: [6 Month GraphQL Security Bulletin](https://spring.io/security/cve-2026-41699/) ### Nguồn tham khảo: S27 — Spring Security：CVE-2026-59270 - Mục đích: Nhúng UnboundID LDAP, nhận dạng quản lý đã biết và phân biệt OSS/phiên bản thương mại. - Nguồn tham khảo: [Spring embedded LDAP Security Bulletin](https://spring.io/security/cve-2026-59270/) ### Nguồn tham khảo: S28 — Spring Security：CVE-2026-47841 - Mục đích: Xác thực người dùng WebAuthn, tuần tự hóa phiên và tiền đề tấn công. - Nguồn tham khảo: [WebAuthn Security Bulletin](https://spring.io/security/cve-2026-47841/) ### S29 — PSF: CVE-2026-19445 Tư vấn bảo mật độc lập - Mục đích: 30-09-2026, Critical, SNI Các điều kiện và biện pháp tạm thời được trích dẫn bởi SSLContext. - Nguồn tham khảo: [SSLContext UAF Official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/QMQIUQB6WGGC3MI7I3WKQXOYOBDSPPS3/) ### S30 — PSF: CVE-2026-19553 Tư vấn bảo mật độc lập - Mục đích: 30-09-2026, High, thiếu tên máy chủ và giảm nhẹ tham số rõ ràng. - Nguồn tham khảo: [wrap\_bio Official announcement of hostname verification](https://mail.python.org/archives/list/security-announce@python.org/thread/QNZRG3YOAMTHDCMVCICXGY6YEFPY2VDL/) ### S31 - CPython: bản vá chính thức của quấn\_bio và cổng sau 3.12 - Mục đích: Chính sách tương thích cảnh báo 3.10—3.12, sự khác biệt giữa None và chuỗi trống. - Nguồn tham khảo: [Main Patch PR #158503](https://github.com/python/cpython/pull/158503) - Nguồn tham khảo: [3.12 Backfill PR #158513](https://github.com/python/cpython/pull/158513) - Nguồn tham khảo: [3.15 Backfill PR #158511](https://github.com/python/cpython/pull/158511) ### S32 — PSF: CVE-2026-82049 Tư vấn bảo mật độc lập - Mục đích: 2026-09-14, High, kết hợp liên kết, sửa đổi siêu dữ liệu và hiển thị nội dung. - Nguồn tham khảo: [tarfile link bypasses the official announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/EFJWGAZJA56AKSBR2WHMHQZO7RRLZPRH/) ### S33 — CPython: Bản phát hành bảo mật chính thức vào cuối tháng 9/đầu tháng 10 - Mục đích: Phiên bản sửa lỗi tối thiểu, phương pháp phân phối mã nguồn và miễn trừ 3.14 đối với các vấn đề cụ thể về tarfile. - Nguồn tham khảo: [Python Cross-branch security release instructions](https://blog.python.org/2026/10/python-31022-31117/) - Nguồn tham khảo: [Python 3.11.17](https://www.python.org/downloads/release/python-31117/) - Nguồn tham khảo: [Python 3.12.15](https://www.python.org/downloads/release/python-31215/) - Nguồn tham khảo: [Python 3.13.16](https://www.python.org/downloads/release/python-31316/) - Nguồn tham khảo: [Python 3.14.8](https://www.python.org/downloads/release/python-3148/) ### S34 — CPython: 3.10 bản phát hành an toàn cuối cùng - Mục đích: 3.10.22 và kết thúc vòng đời ngược dòng. - Nguồn tham khảo: [Python 3.10.22](https://www.python.org/downloads/release/python-31022/) ### S35 — CPython: Phiên bản bảo trì khẩn cấp 2026-10-21 - Mục đích: 3.13.17 / 3.14.9 / 3.15.1, cập nhật pip và certifi tích hợp, các yêu cầu venv hiện có. - Nguồn tham khảo: [Python 3.13.17](https://www.python.org/downloads/release/python-31317/) - Nguồn tham khảo: [Python 3.14.9](https://www.python.org/downloads/release/python-3149/) - Nguồn tham khảo: [Python 3.15.1](https://www.python.org/downloads/release/python-3151/) ### S36 — certifi: Thông báo không tin cậy chứng chỉ emSign - Mục đích: 20-10-2026, GHSA-6q48-6c7w-9gw2, Critical, không rõ CVE. - Nguồn tham khảo: [certifi Official Security Bulletin](https://github.com/certifi/python-certifi/security/advisories/GHSA-6q48-6c7w-9gw2) ### S37 — PSF: Tác động của eMudhra / emSign đối với người dùng Python - Mục đích: Đề xuất certifi .19, đường cơ sở pip/uv, lệnh nâng cấp khởi động đáng tin cậy với SHA-256. - Nguồn tham khảo: [PSF Official event and upgrade instructions](https://discuss.python.org/t/information-for-python-users-regarding-emudhra-emsign-ca-certificate-security-incident/109576) Lệnh nâng cấp khởi động pip được cung cấp bởi hướng dẫn chính thức được trích dẫn bởi S37 như sau. Chỉ được sử dụng trong môi trường Python đã được xác nhận là đáng tin cậy; nếu có nghi ngờ ngộ độc ở Khu 9, trước tiên hãy cách ly và xây dựng lại theo quy trình sự việc. Nó sửa hàm băm nội dung bánh xe và sau đó cập nhật các phần phụ thuộc khác theo quy trình của dự án. ```bash python -m pip install "pip @ https://files.pythonhosted.org/packages/3f/06/3e4420302363fbb71be3c7f35ce042f54bfca330e3e66b3a2e3c4cca579f/pip-26.2.2-py3-none-any.whl#sha256=fd7f4dfa8190e014013b9f08f3e973f4e4c26ffd179a204895533a7254813a70" ``` ### S38 — Django: 2026-08-04 phát hành an toàn - Cách sử dụng: CVE-2026-15307, GeoDjango Điều kiện khai thác, sửa lỗi ban đầu và thay đổi về khả năng tương thích. - Nguồn tham khảo: [Django 6.0.8 / 5.2.17](https://www.djangoproject.com/weblog/2026/aug/04/security-releases/) ### S39 — Django: phát hành an toàn 2026-10-06 - Mục đích: CVE-2026-87890, hình học DoS gia cố tiếp theo với đường cơ sở hiện được chọn. - Nguồn tham khảo: [Django 6.1.2 / 6.0.9 / 5.2.18](https://www.djangoproject.com/weblog/2026/oct/06/security-releases/) ### S40 — PSF / CPython: Ghi chú phụ tar\_filter mới nhất - Mục đích: 22-10-2026, CVE-2026-114583 (Medium); Việc sáp nhập PR không có nghĩa là phiên bản bảo trì chính thức đã được phát hành. - Nguồn tham khảo: [PSF Independent Announcement](https://mail.python.org/archives/list/security-announce@python.org/thread/43JOWPRAV5DI3VZ4FUEUAZOHCATXXOCK/) - Nguồn tham khảo: [CPython Patch PR #160098](https://github.com/python/cpython/pull/160098) ### S41 - LiteLLM: Báo cáo sự cố chuỗi cung ứng chính thức, ngày 21 tháng 10 - Mục đích: Sản phẩm bị ô nhiễm 1.107.0, tóm tắt lịch sử, tái thiết cách ly và xử lý thông tin xác thực. - Nguồn tham khảo: [Contained: LiteLLM v1.107.0 Compromised](https://docs.litellm.ai/blog/security-incident-oct-21-2026) ### S42 — Google Brotli: phiên bản bảo mật chính thức - Mục đích: Brotli 1.0.10 / 1.1.1 / 1.2.1 độc lập và cơ sở xác minh bản sao nhúng đa ngôn ngữ. - Nguồn tham khảo: [Brotli releases](https://github.com/google/brotli/releases) ### S43 - mise: sử dụng tài liệu chính thức của lệnh - Mục đích: Chỉ định phiên bản công cụ và ngữ nghĩa lệnh của cấu hình chung. - Nguồn tham khảo: [mise use](https://mise.jdx.dev/cli/use.html) ### S44 — PyPA: pip-dự án chính thức kiểm toán - Mục đích: Python Mục đích và ranh giới khả năng của việc kiểm tra lỗ hổng phụ thuộc. - Nguồn tham khảo: [pip-audit](https://github.com/pypa/pip-audit) ### S45 — Python: tài liệu lọc trích xuất tarfile - Mục đích: chiến lược dữ liệu, thay đổi hành vi mặc định và các hạn chế không thể thay thế hộp cát. - Nguồn tham khảo: [tarfile extraction filters](https://docs.python.org/3/library/tarfile.html#extraction-filters) ### S46 — Node.js: Cơ chế loại bỏ CA trung gian - Mục đích: Quá trình xử lý chuỗi tin cậy liên quan đến eMudhra này không tương đương với việc vô hiệu hóa mật mã của tất cả các chứng chỉ gốc. - Nguồn tham khảo: [Node.js PR #66871](https://github.com/nodejs/node/pull/66871) ### S47 — CPython: Các ghi chú và sửa lỗi kỹ thuật của SNI UAF - Mục đích: vòng đời tham chiếu, điều kiện xây dựng đặc biệt và quay lui nhánh. - Nguồn tham khảo: [official issue #156293](https://github.com/python/cpython/issues/156293) - Nguồn tham khảo: [official patch PR #158504](https://github.com/python/cpython/pull/158504) - Nguồn tham khảo: [3.15 Backfill PR #158514](https://github.com/python/cpython/pull/158514) ## Tư vấn bảo trì an ninh Bạn không chắc chắn những thay đổi về độ tin cậy của chứng chỉ ảnh hưởng đến hệ thống của mình như thế nào? Chúng tôi có thể giúp đánh giá các khách hàng bị ảnh hưởng và lập kế hoạch cập nhật bảo mật. [Thảo luận về các cập nhật bảo mật]() [Trang gốc]() · [chỉ mục nội dung]() KeenDigit LLC · ID hồ sơ Wyoming: 2026-002106155 [Xác minh với Bộ trưởng Ngoại giao Wyoming]() © 2026 KeenDigit LLC · Sheridan, Wyoming, Hoa Kỳ · Mọi quyền được bảo lưu.