#lỗ hổng
9 bài
Node.jsLỗ hổng Brotli của Node.js đã chạy được mã trên bản chính thức, và Python cũng dính
CVE-2026-111497 (CVSS 9,2) nằm trong bộ giải nén Brotli bằng C mà Node.js, Bun, gói Brotli của Python và nhiều phần mềm khác cùng dùng. Imperva đã chạy được mã trên Node.js 24.22.0 bản chính thức. Nâng Node.js, nâng gói Brotli và brotlicffi trong Python, rồi build lại image.
PHPLỗ hổng PHP2Shell đã bị khai thác thật, và tắt upload progress là chưa đủ
Hai lỗ hổng PHP CVE-2026-109618 và CVE-2026-109619 (CVSS 9,2) đang bị dò quét và khai thác trên diện rộng, có lần thử từ 17/10, trước khi bản vá ra. Không cài đặt php.ini nào chặn được hết. Kiểm tra bản PHP mà web đang chạy, vá, khởi động lại và xem log có dấu bị tấn công không.
lỗ hổngNextcloud tự cài đang bị cài web shell qua app soạn tài liệu có sẵn
App Collabora Online Built-in CODE Server của Nextcloud dính lỗi chạy lệnh không cần đăng nhập (CVE-2026-110447, CVSS 9,2), bị khai thác từ tháng 9 và CISA đã đưa vào danh sách KEV ngày 23/10. Tắt app không đủ: nâng lên 26.4.303 trở lên hoặc gỡ hẳn, rồi tìm file PHP lạ trong thư mục app.
vận hànhCó người báo lỗ hổng cho bạn: security.txt và cách trả lời
Người tìm ra lỗ hổng trong app của bạn cần biết báo cho ai. Cách tạo file security.txt theo RFC 9116, hộp thư nhận báo, cam kết thời gian phản hồi, cảm ơn công khai, phân biệt báo cáo thật với email đòi tiền, và khi nào nên thuê đánh giá độc lập.
lỗ hổngLaravel: gửi số 0 thay cho token là đăng nhập được vào tài khoản người khác
Lỗi CVE-2026-114509 (CVSS 9,2) trong guard token của Laravel cho người lạ đăng nhập API bằng tài khoản có sẵn, thường là admin, nếu app dùng MySQL hoặc MariaDB. Đã có mã khai thác công khai. Nâng lên 12.68.0 hoặc 13.29.0 và kiểm tra config/auth.php.
GitLabGitLab tự cài dính lỗi 10 điểm, người lạ chạy được mã trên máy chủ
Lỗ hổng CVE-2026-110264 cho phép người không có tài khoản chạy mã trên GitLab tự cài, có từ bản 7.0 năm 2014. Kiểm tra phiên bản, nâng lên bản vá ngày 21/10, chưa nâng được thì đóng GitLab khỏi internet.
PHPPHP vá hai lỗ hổng chiếm máy chủ từ xa, điểm 9,2
PHP 8.2 đến 8.5 vừa ra bản vá cho hai lỗ hổng cho phép chạy mã từ xa không cần đăng nhập, chỉ bằng một request gửi tới trang PHP. Lỗi xảy ra ở đâu, ai bị ảnh hưởng và nên làm gì ngay.
Node.jsNode.js vá 10 lỗ hổng, có lỗi chạy mã từ xa qua bộ giải nén Brotli
Bản 22.23.4, 24.22.1 và 26.12.1 phát hành ngày 21/10 vá 10 lỗi, nặng nhất là lỗi ghi tràn bộ nhớ trong bộ giải nén Brotli và mấy lỗi bỏ qua kiểm tra tên miền của chứng chỉ TLS.
Next.jsNext.js vá khẩn hai lỗ hổng chạy mã từ xa, điểm 9,5
Next.js 16.4.1 và 15.5.28 vá hai lỗi cho phép chạy mã từ xa không cần đăng nhập, một ở bộ nhớ đệm `use cache`, một ở khâu xử lý ảnh SVG qua thư viện sharp. Kèm một lỗi làm treo server qua Server Actions.