#máy chủ
11 bài
Node.jsLỗ hổng Brotli của Node.js đã chạy được mã trên bản chính thức, và Python cũng dính
CVE-2026-111497 (CVSS 9,2) nằm trong bộ giải nén Brotli bằng C mà Node.js, Bun, gói Brotli của Python và nhiều phần mềm khác cùng dùng. Imperva đã chạy được mã trên Node.js 24.22.0 bản chính thức. Nâng Node.js, nâng gói Brotli và brotlicffi trong Python, rồi build lại image.
VPSMười phút đầu tiên sau khi mua VPS
VPS mới bị dò SSH trong vòng vài phút sau khi lên mạng. Danh sách việc làm ngay trên Ubuntu: cập nhật tự động, SSH chỉ bằng khóa, tắt đăng nhập root, ufw, cái bẫy Docker đi vòng qua ufw, và đồng hồ đúng giờ.
PHPLỗ hổng PHP2Shell đã bị khai thác thật, và tắt upload progress là chưa đủ
Hai lỗ hổng PHP CVE-2026-109618 và CVE-2026-109619 (CVSS 9,2) đang bị dò quét và khai thác trên diện rộng, có lần thử từ 17/10, trước khi bản vá ra. Không cài đặt php.ini nào chặn được hết. Kiểm tra bản PHP mà web đang chạy, vá, khởi động lại và xem log có dấu bị tấn công không.
lỗ hổngNextcloud tự cài đang bị cài web shell qua app soạn tài liệu có sẵn
App Collabora Online Built-in CODE Server của Nextcloud dính lỗi chạy lệnh không cần đăng nhập (CVE-2026-110447, CVSS 9,2), bị khai thác từ tháng 9 và CISA đã đưa vào danh sách KEV ngày 23/10. Tắt app không đủ: nâng lên 26.4.303 trở lên hoặc gỡ hẳn, rồi tìm file PHP lạ trong thư mục app.
DockerContainer chạy quyền root là cho hacker thêm một bậc thang
Dockerfile AI viết thường để app chạy bằng root, không giới hạn RAM, CPU, và có khi còn mount cả docker.sock. Sáu dòng cấu hình trong Dockerfile và docker-compose giúp một lỗ hổng trong app không biến thành mất cả máy chủ.
máy chủApp nhỏ có cần chống DDoS không
App nhỏ ít khi bị DDoS thật, nhưng một script gửi vài trăm request mỗi giây là đủ làm sập VPS 1 GB hay đẩy bill serverless lên. Bốn lớp chặn rẻ: Cloudflare phía trước, giới hạn ở reverse proxy, trang tĩnh khi API quá tải, và trần chi tiêu trên serverless.
HTTPSChứng chỉ HTTPS hết hạn lúc nửa đêm và cách để không bị bất ngờ
Let's Encrypt đã ngừng gửi email nhắc hết hạn từ tháng 6/2025, và thời hạn chứng chỉ đang rút dần về 45 ngày. Cách kiểm việc tự gia hạn, đặt cảnh báo, thêm bản ghi CAA và tránh chạm giới hạn cấp chứng chỉ.
GitLabGitLab tự cài dính lỗi 10 điểm, người lạ chạy được mã trên máy chủ
Lỗ hổng CVE-2026-110264 cho phép người không có tài khoản chạy mã trên GitLab tự cài, có từ bản 7.0 năm 2014. Kiểm tra phiên bản, nâng lên bản vá ngày 21/10, chưa nâng được thì đóng GitLab khỏi internet.
PHPPHP vá hai lỗ hổng chiếm máy chủ từ xa, điểm 9,2
PHP 8.2 đến 8.5 vừa ra bản vá cho hai lỗ hổng cho phép chạy mã từ xa không cần đăng nhập, chỉ bằng một request gửi tới trang PHP. Lỗi xảy ra ở đâu, ai bị ảnh hưởng và nên làm gì ngay.
Node.jsNode.js vá 10 lỗ hổng, có lỗi chạy mã từ xa qua bộ giải nén Brotli
Bản 22.23.4, 24.22.1 và 26.12.1 phát hành ngày 21/10 vá 10 lỗi, nặng nhất là lỗi ghi tràn bộ nhớ trong bộ giải nén Brotli và mấy lỗi bỏ qua kiểm tra tên miền của chứng chỉ TLS.
Next.jsNext.js vá khẩn hai lỗ hổng chạy mã từ xa, điểm 9,5
Next.js 16.4.1 và 15.5.28 vá hai lỗi cho phép chạy mã từ xa không cần đăng nhập, một ở bộ nhớ đệm `use cache`, một ở khâu xử lý ảnh SVG qua thư viện sharp. Kèm một lỗi làm treo server qua Server Actions.