Cảnh báo mới từ cơ quan an toàn thông tin
Ngày 26/10/2026, GovCERT.HK và Trung tâm An ninh mạng Canada công bố cảnh báo về CVE-2026-111497 trong bộ giải nén Brotli. GovCERT.HK cho biết lỗi có thể dẫn đến gián đoạn dịch vụ, lộ thông tin hoặc thực thi mã trong điều kiện bị ảnh hưởng. Bản tin của dự án Node.js ngày 21/10 cũng liệt kê lỗi Brotli trong đợt cập nhật bảo mật.
Phạm vi cần kiểm tra có thể bao gồm phần mềm thương mại, thư viện mã nguồn mở và môi trường chạy ứng dụng. Việc một hệ thống có sử dụng Brotli chưa đủ để kết luận hệ thống đó có thể bị khai thác. Cần xác định phiên bản thực tế và cách dữ liệu đi vào bộ giải nén.
Gợi ý rà soát cho doanh nghiệp
Đối với website, API và hệ thống nghiệp vụ, hoạt động bảo trì nên bắt đầu bằng danh mục những thành phần đang chạy:
- Liệt kê máy chủ, runtime, thư viện và container có liên quan, kèm người chịu trách nhiệm.
- Kiểm tra ứng dụng có giải nén dữ liệu nhận từ bên ngoài hay không, và qua thành phần nào.
- Đối chiếu thông báo của từng nhà cung cấp để xác định phiên bản đã có bản vá. Các bản phân phối có thể cung cấp bản vá riêng.
- Kiểm thử luồng nghiệp vụ quan trọng, triển khai cập nhật và xác nhận phiên bản thực tế sau khi khởi động lại hoặc dựng lại container.
Một thay đổi trong tệp khai báo phụ thuộc chưa chứng minh rằng môi trường production đã được cập nhật. Hồ sơ bảo trì nên ghi nhận cả phiên bản trước, phiên bản sau, thời điểm triển khai và kết quả kiểm tra.
Đưa quản lý phụ thuộc vào công việc định kỳ
Từ tình huống này, doanh nghiệp có thể xem lại cách phân công công việc sau bàn giao phần mềm. Ai theo dõi cảnh báo? Ai quyết định lịch cập nhật? Ai kiểm tra hệ thống sau thay đổi? Trả lời rõ những câu hỏi đó giúp tránh tình trạng bản vá đã có nhưng chưa được đưa vào hệ thống đang phục vụ khách hàng.
Trao đổi với Vietek về bảo trì và vận hành phần mềm.
Nguồn tham khảo
- GovCERT.HK: cảnh báo Brotli, 26/10/2026.
- Canadian Centre for Cyber Security: AV26-1085, 26/10/2026.
- Node.js: bản tin cập nhật bảo mật tháng 10/2026.
Thông tin được kiểm tra đến ngày 27/10/2026.