EXPLORINEER
vi

UK — The Register

Microsoft phát hành bản vá bảo mật .NET khẩn cấp cho lỗi Brotli của Google

Bảo mật2 phút đọc

Microsoft vừa phát hành bản vá bảo mật khẩn cấp cho .NET để sửa lỗi trong thư viện nén Brotli của Google. Lỗi này có thể cho phép kẻ tấn công làm hỏng bộ nhớ của chương trình.

Chuyện gì đã xảy ra?

Microsoft kêu gọi người dùng .NET cập nhật "càng sớm càng tốt". Đây là bản cập nhật khẩn cấp, phát hành ngoài lịch thường kỳ. Bản vá dành cho .NET 8, 9, 10 và 11. Trước đó, Node.js, Python và một số dự án khác cũng đã phát hành bản vá tương tự. Lỗi nằm ở Brotli, một công cụ nén dữ liệu của Google. Lỗi tràn bộ đệm (buffer overflow) này được gọi là CVE-2026-111497.

Các con số và sự kiện chính

  • Điểm mức độ nghiêm trọng là 8,1 theo thang CVSS v3.1 của Microsoft.
  • Microsoft phát hành bản vá ngày 25 tháng 10 năm 2026.
  • Node.js công bố lỗi ngày 21 tháng 10 và vá tổng cộng 10 lỗi.
  • 91% môi trường đám mây dùng thành phần có lỗi Brotli, theo Wiz.
  • 82% môi trường đám mây có các thực thể Node.js lộ ra công khai, theo Wiz.

Lỗi này được biết đến như thế nào?

Brotli là công cụ nén dữ liệu được nhiều phần mềm dùng. Lỗi gốc đã được sửa trong mã nguồn Brotli từ tháng 2, nhưng lúc đó chưa ai biết nó có thể trở thành lỗ hổng bảo mật. Vì vậy, lỗi chỉ được công bố đầy đủ vào tháng 10. Một số người gọi lỗi này là Broccoli2Shell hoặc Node2Shell. Microsoft cho biết các chuyên gia đã ghép được mã tấn công hoạt động, nhưng chưa có dấu hiệu tội phạm đang dùng chúng để tấn công thành công. Tuy nhiên, Microsoft đánh giá khả năng bị khai thác là "Có khả năng bị khai thác cao".

Vì sao điều này quan trọng?

Brotli được tích hợp trong nhiều phần mềm khác nhau, nên lỗi ảnh hưởng đến nhiều công nghệ. Kẻ tấn công có thể gửi dữ liệu nén độc hại qua một yêu cầu được tạo riêng để tấn công hệ thống. Hậu quả có thể là lộ thông tin, làm dịch vụ ngừng hoạt động, hoặc giành quyền cao hơn. Các đám mây, máy chủ và ứng dụng container đều có nguy cơ. Người quản trị cần cập nhật cả phần mềm lẫn các thư viện đi kèm.

Cần theo dõi điều gì?

  • Xem các phần mềm như .NET, Node.js, Python, Bun, Envoy và Istio đã cập nhật chưa.
  • Theo dõi xem có ai bắt đầu dùng mã tấn công thật để xâm nhập hệ thống không.
  • Chú ý bản vá cho FFmpeg và Apache Arrow, vì hai phần mềm này cũng bị ảnh hưởng.
  • Theo dõi các bản cập nhật mới từ Brotli, vì phần mềm nào dùng thư viện này cũng cần cập nhật theo.

Chú giải

Brotli
Công cụ nén dữ liệu do Google phát triển, giúp file nhỏ hơn để gửi đi nhanh hơn.
.NET
Bộ công cụ phần mềm của Microsoft, dùng để xây dựng và chạy nhiều loại ứng dụng.
Node.js
Môi trường chạy JavaScript phía máy chủ, được nhiều website và ứng dụng sử dụng.
buffer overflow
Lỗi tràn bộ đệm, khi chương trình ghi dữ liệu vượt quá vùng nhớ dành cho nó, có thể bị lợi dụng để tấn công.
FFmpeg
Phần mềm mã nguồn mở dùng để xử lý âm thanh và video.
Wiz
Công ty bảo mật đám mây, chuyên tìm và cảnh báo các rủi ro trên hạ tầng đám mây.

Cùng chủ đề

Bảo mậtITmedia

Khách hàng sẽ kiện đơn vị vận hành Times Car vì rò rỉ dữ liệu, luật sư công bố trong họp báo

Luật sư Yuki Makino, người lập trang web tập thể kiện tụng, đã thông báo tại một buổi họp báo ở Tokyo ngày 26/10/2026 rằng sẽ nộp đơn kiện lên Tòa án Quận Tokyo đối với Park24, công ty vận hành Times Car, và các giám đốc điều hành, đòi bồi thường 30.000 đến 50.000 yen cho mỗi nạn nhân. Vụ kiện xuất phát từ việc rò rỉ thông tin cá nhân của tối đa khoảng 6,6 triệu thành viên, bao gồm ảnh bằng lái xe, sau khi phát hiện truy cập trái phép vào ngày 25/9; hơn 100.000 người đã đăng ký trên trang web.

Bảo mậtITmedia

Truy cập trái phép vào Joshin có thể làm rò rỉ tối đa 6,23 triệu bản ghi, gồm 2 bằng lái xe và 1 thẻ My Number

Joshin, nhà bán lẻ điện máy Nhật Bản đồng thời kinh doanh cải tạo nhà ở, cho biết ngày 26/10 rằng có thể có tới khoảng 6,23 triệu bản ghi thành viên bị rò rỉ ra bên ngoài sau vụ truy cập trái phép vào mạng của công ty, được công bố từ ngày 17. Dữ liệu có thể bao gồm họ tên, địa chỉ, hình ảnh bằng lái xe, thông tin thẻ My Number và thông tin đăng nhập; công ty cho biết phạm vi ảnh hưởng và việc rò rỉ thực tế vẫn đang được điều tra. Joshin nói không lưu trữ thông tin thẻ tín dụng và cảnh báo người dùng cảnh giác với email, SMS hoặc cuộc gọi giả mạo công ty.

Bảo mật전자신문

Tấn công mạng lan từ ngành tài chính sang bảo hiểm, phần mềm và du lịch

Mirae Asset Life Insurance phát hiện dấu hiệu bất thường trong một số hệ thống và đã báo cáo sự cố xâm nhập cho Cơ quan Giám sát Tài chính, đây là vụ đầu tiên trong ngành bảo hiểm. Các vụ việc khác xảy ra tại Douzone Bizon, nơi đang điều tra khả năng rò rỉ dữ liệu, và nền tảng du lịch NOL, nơi xác nhận dữ liệu khách đặt phòng trong nước bị lộ. KB Kookmin Bank cho biết số người bị ảnh hưởng trong vụ trước đã tăng lên 2.210 người.

Bảo mậtITmedia

Nomura Research Institute ra mắt dịch vụ hỗ trợ chủ động tạm dừng hệ thống khi bị tấn công mạng

Nomura Research Institute (NRI) và công ty con NRI Secure Technologies đã bắt đầu cung cấp dịch vụ "Hỗ trợ quản lý khả năng phục hồi mạng" từ ngày 22/10, giúp các doanh nghiệp bị tấn công mạng quyết định chủ động dừng và khôi phục hệ thống. Dịch vụ bao gồm xây dựng tiêu chí và quy trình ra quyết định dừng/khôi phục, ước tính chi phí tài chính cũng như đánh giá các rủi ro khó quy đổi thành tiền như ảnh hưởng đến thương hiệu. Thời gian hỗ trợ ngắn nhất khoảng 2–3 tháng.