Node.js phát hành bản cập nhật bảo mật cho các nhánh 22.x, 24.x và 26.x

Node.js đã công bố các bản phát hành bảo mật cho runtime JavaScript phía máy chủ, khắc phục nhiều vấn đề trong HTTP/2, HTTPS và TLS. Xem thông báo phát hành bảo mật tháng 11 năm 2026 của Node.js để đối chiếu bản phát hành dành cho nhánh đang sử dụng.

Tổng quan và thông tin kỹ thuật

Hồ sơ ghi nhận các lỗi có mức độ high và medium, nhưng không cung cấp điểm CVSS. Tác động được mô tả gồm sự cố làm dừng máy chủ, rò rỉ bộ nhớ hoặc dữ liệu và vấn đề xác thực chứng chỉ.

Phạm vi ảnh hưởng

Các nhánh được nêu trong bản tin là 22.x, 24.x và 26.x. Hồ sơ xác nhận có bản cập nhật bảo mật cho cả ba nhánh, nhưng không cung cấp số phiên bản vá cụ thể.

Điều kiện liên quan có thể gồm máy chủ HTTP/2 mặc định; ứng dụng gọi flushHeaders() trước khi nhận hết request body rồi kết thúc phản hồi bằng chunk không rỗng; route echo hoặc lưu request body; các hook TLS; chính sách client certificate khác nhau theo hostname; sử dụng respondWithFile() hoặc respondWithFD(); và truyền giá trị do kẻ tấn công kiểm soát như :authority vào Http2Session.altsvc().

CVE-2026-123864 không ảnh hưởng node:http chạy cleartext. CVE-2026-123863, CVE-2026-126051, CVE-2026-123874 và CVE-2026-123828 được xác định ảnh hưởng các nhánh 24.x và 26.x. Với CVE-2026-123866, khai thác thuần từ peer trên 24.x và 26.x phụ thuộc thay đổi kích thước cửa sổ có từ 24.22.0 và 26.9.0; lỗi vẫn có thể tiếp cận trên mọi nhánh được hỗ trợ qua teardown do ứng dụng khởi tạo, chẳng hạn idle timeout theo stream.

Cơ chế và tác động

Trong HTTP/2, các lỗi được mô tả gồm assertion có thể làm sập máy chủ, use-after-free và đọc ngoài vùng nhớ có thể làm lộ dữ liệu heap, rò rỉ bộ nhớ và file descriptor, cùng tràn heap một byte qua HTTP/2 Alt-Svc. Lỗi khác liên quan ngoại lệ không bắt được có thể dừng máy chủ TLS và vượt qua xác thực chứng chỉ máy khách trong TLS 1.2.

Các điều kiện khai thác phụ thuộc cách ứng dụng xử lý request, cấu hình HTTP/2 và TLS cũng như API được sử dụng; không phải mọi hệ thống đều có cùng điều kiện tiếp cận.

Kiểm tra hệ thống

1. Kiểm tra phiên bản Node.js đang chạy để xác định nhánh cần đối chiếu với bản phát hành bảo mật.
   Sao chép lệnh

   node -v

Nếu phiên bản thuộc nhánh 22.x, 24.x hoặc 26.x, đối chiếu và nâng cấp lên bản phát hành bảo mật tương ứng. Hồ sơ không cung cấp số phiên bản vá cụ thể.

Khắc phục và giảm thiểu

1. Ưu tiên nâng cấp: cập nhật Node.js theo bản phát hành bảo mật dành cho nhánh 26.x, 24.x hoặc 22.x đang sử dụng.
2. Kiểm tra cấu hình liên quan: rà soát điều kiện sử dụng HTTP/2, xử lý request body và các cấu hình TLS được nêu trong phạm vi ảnh hưởng.
3. Lưu ý cập nhật phụ thuộc: bản tin nêu cập nhật llhttp trên 22.x, 24.x và 26.x; undici trên 24.x và 26.x; sqlite trên 22.x và 24.x.