Tháng 10/2026 là một tháng dày đặc bản vá. Microsoft lập kỷ lục với hơn 1.400 CVE trong một đợt Patch Tuesday. GitLab có hai lỗi CVSS 10 trong vòng chín ngày. Danh mục KEV của CISA liên tục bổ sung lỗi trên phần mềm mà nhiều quản trị viên Việt Nam đang chạy, từ Plex Media Server tới Atlassian Data Center. Bài này gom các lỗ hổng đáng chú ý nhất với người quản trị VPS, máy chủ riêng và shared hosting, xếp theo mức ưu tiên.

PHP2Shell (CVE-2026-109618, CVE-2026-109619) và các bản vá NGINX 1.30.6/1.31.7 tháng này đã có bài riêng trên Canh Deal nên không nhắc lại chi tiết ở đây. Tuy vậy, cả hai vẫn thuộc nhóm cần vá ngay.

Tóm tắt nhanh

  • Ai bị ảnh hưởng: gần như mọi máy chủ web có ít nhất một thành phần trong danh sách: OpenSSH, cPanel, Roundcube, WordPress, GitLab, Plex hoặc Windows Server.
  • Mức độ: từ thấp (một số lỗi OpenSSH) tới tối đa CVSS 10 (GitLab).
  • Đã bị khai thác chưa: ít nhất tám mục trong bảng đã bị khai thác thực tế và có trong KEV hoặc được hãng xác nhận.

Bảng ưu tiên: đã bị khai thác

Sản phẩm / CVEMức độBị ảnh hưởngBản vá
Plex Media Server: CVE-2026-96652, 96654, 96655, 96656 (Plex2Shell)Cả chuỗi 9.8 (theo người phát hiện)Trước 1.43.3.108611.43.3.10861 trở lên
Atlassian Data Center: CVE-2026-21589CVSS 9.3Jira, JSM, Confluence, Bitbucket, Bamboo, Crowd, Crucible, Fisheye DCVí dụ Confluence 9.2.26, 10.2.19; Jira 9.12.40, 10.3.26, 11.3.12
WordPress Bricksforge: CVE-2026-85097CVSS 9.8 hoặc 10.0 tùy nguồn3.1.8.9 trở về trước3.1.8.10 trở lên
Windows Shell: CVE-2026-96951CVSS 8.8Windows còn được hỗ trợBản tích lũy tháng 10/2026
FortiMail: CVE-2026-104286CVSS 9.87.2.0–8.0.17.4.9, 7.6.7, 8.0.2
Citrix NetScaler (SAML): CVE-2026-88779CVSS 8.7Trước 14.1-73.41, 13.1-64.2814.1-73.41, 13.1-64.28
Ivanti Connect Secure: CVE-2026-104935High (8.6 theo nhiều nguồn)22.8R2.4, 25.1.1.1, 25.1.2.2 trở về trước22.8R2.5, 25.1.1.2, 25.1.3.0, 25.1.3.1
SiteGuard Server Edition: CVE-2026-106931Chèn lệnh hệ điều hànhBản cũ trước bản vá8.00 Update 5; 7.00 Update 6 (FreeBSD)

Bảng ưu tiên: nghiêm trọng nhưng chưa ghi nhận khai thác

Sản phẩm / CVEMức độBị ảnh hưởngBản vá
GitLab CE/EE: CVE-2026-110264CVSS 10.07.0 đến trước bản vá 21/10, gồm cả 19.4.2, 19.3.5, 19.2.819.5.1, 19.4.3, 19.3.6, 19.2.9, 19.1.9, 19.0.10, 18.11.13
GitLab CE/EE: CVE-2026-97229CVSS 10.019.2–19.4 trước bản vá 12/10Đã được bao gồm trong bản 21/10
cPanel & WHM: CVE-2026-87899CVSS 4.0: 9.4; 3.1: 8.8v120 trở lên chưa vá11.134.0.57, 11.136.0.41, 11.138.0.8
Roundcube: 20 lỗi (chưa có CVE chính thức)Chưa có điểm1.6.x trước 1.6.20; 1.7.x trước 1.7.51.6.20, 1.7.5
OpenSSH: CVE-2026-106586 và các lỗi khácThấp đến trung bìnhTrước 10.610.6 hoặc gói vá của bản phân phối

Với Atlassian, bảng phiên bản vá ở trên lấy theo tổng hợp của Greenbone. Bạn hãy đối chiếu advisory của Atlassian cho đúng sản phẩm và nhánh mình dùng. Lỗi cho phép đọc tệp không cần xác thực, kể cả tệp trong WEB-INF. Khi kết hợp với Crowd SSO, lỗi có thể dẫn tới chiếm tài khoản quản trị Jira. CISA đưa lỗi vào KEV ngày 15/10. Atlassian Cloud không bị ảnh hưởng.

Kiểm tra nhanh máy chủ đang chạy gì

Trước khi vá, bạn cần biết máy chủ đang chạy những gì. Các lệnh dưới đây chỉ đọc thông tin, không thay đổi hệ thống:

# Cổng đang mở và tiến trình tương ứng
sudo ss -tlnp

# Phiên bản các thành phần phổ biến
ssh -V
nginx -v 2>&1; php -v | head -n 1
/usr/local/cpanel/cpanel -V 2>/dev/null
cat /opt/gitlab/embedded/service/gitlab-rails/VERSION 2>/dev/null
dpkg -l | grep -Ei "plexmediaserver|roundcube|openssh-server"

# Container đang chạy và image tương ứng
docker ps --format "table {{.Names}}\t{{.Image}}\t{{.Ports}}"

# Gói đang chờ cập nhật (Debian/Ubuntu và RHEL)
apt list --upgradable 2>/dev/null
dnf check-update --security

Với WordPress, liệt kê plugin cần cập nhật trên từng site:

wp plugin list --update=available --fields=name,version,update_version

Việc cần làm ngay

Với chủ VPS và máy chủ riêng

  1. Trong 24 giờ: vá các dịch vụ mở ra Internet có lỗi đã bị khai thác: Plex, Atlassian, plugin WordPress, NetScaler, FortiMail, Ivanti. Thứ chưa vá được thì đặt sau VPN hoặc tường lửa.
  2. Trong tuần: nâng cấp GitLab lên bản 21/10, cập nhật cPanel, Roundcube, PHP và NGINX, cài Patch Tuesday cho Windows Server.
  3. Trong tháng: cập nhật OpenSSH qua kho của bản phân phối. Trong lúc chờ, tắt Compression, PermitTunnel và GSSAPI nếu không dùng.
  4. Với mọi hệ thống từng chạy bản lỗi đã bị khai thác: tìm tệp lạ, tiến trình lạ, tài khoản quản trị mới và kết nối ra ngoài bất thường. Bản vá không dọn được mã độc đã cài.
  5. Bật cập nhật bảo mật tự động như unattended-upgrades hoặc dnf-automatic, và đặt cPanel ở chế độ cập nhật hằng ngày.

Với khách hàng shared hosting

  • Cập nhật toàn bộ plugin và theme WordPress, xóa những plugin không dùng.
  • Hỏi nhà cung cấp đã cập nhật cPanel (sau 22/9), Roundcube (1.6.20/1.7.5) và PHP chưa.
  • Bật xác thực hai lớp cho cPanel và WordPress. Giữ bản sao lưu ở nơi khác ngoài máy chủ hosting.

Nguồn tham khảo