24 giờ, 3 sự cố: Node.js và PHP vá lỗ hổng nghiêm trọng, nhiều tên miền .vn lỗi DNSSEC

Note from the sharer

Node.js (21/10/2026) vá 10 lỗ hổng, 4 mức cao; nặng nhất là lỗi ghi tràn bộ nhớ trong bộ giải nén Brotli (CVE-2026-111497) có thể dẫn tới chạy mã từ xa, mà Express 5 tự giải nén body dạng br. Bản vá: 22.23.4, 24.22.1, 26.12.1. Cùng ngày PHP phát hành 8.2.35, 8.3.36, 8.4.27, 8.5.12 vá 2 lỗi chạy mã từ xa CVE-2026-109618 và CVE-2026-109619 (CVSS v4 9.2), nguy hiểm nhất với Apache + mod_php; lỗi bị lộ trước ngày vá và Qualys cho biết đã có ghi nhận tấn công thật. Ngày 22/10, nhiều tên miền .vn không phân giải được trên Google DNS và Cloudflare do lỗi kiểm chứng DNSSEC, dù máy chủ web vẫn chạy; chưa có thông báo chính thức về nguyên nhân.