Hosting & VPS
Tên miền
Proxy
F5, công ty sở hữu NGINX, đã phát hành loạt bản vá bảo mật ngoài lịch thường kỳ trong tháng 10/2026. BleepingComputer đưa tin ngày 19/10, còn Cơ quan An ninh mạng Singapore (CSA) ra cảnh báo ngày 21/10. Đợt vá xử lý năm lỗ hổng trên NGINX Open Source, trong đó có ba lỗi bộ nhớ được F5 chấm 9.2 điểm CVSS v4.0, mức nghiêm trọng.
Theo trang tư vấn bảo mật chính thức của nginx.org, các phiên bản an toàn là 1.30.6 trở lên (nhánh ổn định) và 1.31.7 trở lên (nhánh mainline).
Năm lỗ hổng trong đợt vá
| CVE | Mô tả (theo nginx.org) | Phiên bản bị ảnh hưởng |
|---|---|---|
| CVE-2026-15176 | Tràn bộ đệm khi dùng alias cùng rewrite | 0.1.29 đến 1.31.6 |
| CVE-2026-97205 | Use-after-free khi dùng AIO | 0.8.11 đến 1.31.6 |
| CVE-2026-93479 | Tràn bộ đệm khi xử lý biểu thức trong cấu hình | 1.30.0 đến 1.30.5, 1.31.2 đến 1.31.6 |
| CVE-2026-97629 | Giả mạo phiên khi dùng TLS session ticket | 1.23.2 đến 1.31.6 |
| CVE-2026-95101 | Chèn thân request qua HTTP/3 | 1.25.0 đến 1.31.6 |
Có sự chênh lệch trong cách chấm điểm. Trang nginx.org xếp cả năm lỗi ở mức trung bình. Trong khi đó, cảnh báo của CSA Singapore ghi nhận ba lỗi CVE-2026-15176, CVE-2026-97205 và CVE-2026-93479 ở mức 9.2 điểm CVSS v4.0 theo đánh giá của F5. Người quản trị nên xử lý theo mức cao hơn.
Điểm đáng chú ý là phạm vi phiên bản. Hai lỗi CVE-2026-15176 và CVE-2026-97205 tồn tại từ các bản 0.1.x và 0.8.x, tức gần như mọi NGINX đang chạy đều nằm trong diện ảnh hưởng.
Hậu quả nếu bị khai thác
Theo BleepingComputer, kẻ tấn công từ xa, không cần quyền, có thể làm tiến trình worker của NGINX bị sập hoặc khởi động lại. Kết quả là gián đoạn dịch vụ. Thực thi mã từ xa có thể xảy ra trong cấu hình không mặc định, nhất là khi ASLR bị tắt hoặc bị vượt qua.
Lỗi CVE-2026-97629 nguy hiểm theo hướng khác. Kẻ tấn công có thể giả mạo phiên TLS và vượt qua bước kiểm tra chứng chỉ phía client. Hệ thống dùng mTLS để bảo vệ trang quản trị hoặc API nội bộ cần đặc biệt lưu ý.
Tại thời điểm đưa tin, F5 chưa ghi nhận khai thác thực tế. Tuy vậy, NGINX năm nay đã có tiền lệ. Tháng 5/2026, SecurityWeek đưa tin lỗi CVE-2026-42945, biệt danh "Nginx Rift", bị khai thác chỉ vài ngày sau khi công bố, sau khi mã khai thác mẫu được đăng tải. Khoảng cách từ lúc vá tới lúc bị tấn công ngày càng ngắn.
Sản phẩm F5 bị ảnh hưởng
Theo cảnh báo của CSA Singapore, ngoài NGINX Open Source, các sản phẩm sau cũng nằm trong diện ảnh hưởng:
- NGINX Plus các nhánh R33 đến R37
- NGINX Ingress Controller 5.6.0 đến 5.6.3
- NGINX Gateway Fabric 2.1.0 đến 2.7.2 và 1.5.0 đến 1.6.2
- NGINX Instance Manager 2.18.0 đến 2.23.0
- F5 WAF for NGINX 5.9.0 đến 5.15.0, F5 DoS for NGINX 4.8.0 đến 4.10.0
Ảnh hưởng tới người dùng VPS ở Việt Nam
NGINX là web server phổ biến trên VPS giá rẻ, từ stack LEMP tự cài tới các bộ script và control panel. Nhiều máy chủ được dựng một lần rồi không cập nhật. Đây là nhóm dễ tổn thương nhất.
Kiểm tra phiên bản và cấu hình
nginx -v
nginx -T 2>/dev/null | grep -nE "alias|aio|ssi on|ssl_session_tickets"Lệnh đầu cho biết phiên bản. Lệnh sau liệt kê các chỉ thị liên quan tới lỗ hổng trong toàn bộ cấu hình đang nạp.
Cập nhật
- Nếu cài từ kho chính thức nginx.org, cập nhật qua apt hoặc dnf lên 1.30.6 hoặc 1.31.7.
- Nếu cài từ kho của bản phân phối Linux, số phiên bản có thể không đổi vì bản vá được đưa ngược vào gói cũ. Hãy đọc changelog gói để xác nhận CVE đã được vá.
- Nếu dùng control panel tự biên dịch NGINX, theo dõi thông báo cập nhật của nhà phát triển panel.
- Kiểm tra cấu hình bằng
nginx -trồi mới reload hoặc restart.
Giảm thiểu tạm thời
F5 đưa ra các cách giảm thiểu nếu chưa thể vá:
- CVE-2026-15176: không dùng chỉ thị
aliastrong khối location, không dùng biến$request_filename. - CVE-2026-97205: tắt asynchronous file I/O (AIO) hoặc Server Side Includes (SSI).
- CVE-2026-93479: dùng named capture thay cho capture không tên, và chỉ dùng chúng trong khối cấu hình chứa biểu thức regex.
Với cấu hình WordPress thông thường, alias thường xuất hiện ở các khối phục vụ file tĩnh hoặc phpMyAdmin. Thay alias bằng root, nếu được, vừa giảm rủi ro vừa dễ bảo trì.
Góc nhìn của Canh Deal
Tháng 10/2026 là tháng nặng nề với stack web: NGINX vá lỗi chưa xong thì PHP lại có PHP2Shell. Ai tự quản VPS nên đặt lịch cập nhật định kỳ, tối thiểu hằng tuần, và đăng ký nhận tin từ danh sách nginx-announce. Nếu không đủ thời gian, gói VPS managed hoặc hosting có đội vận hành là khoản chi đáng cân nhắc.
