Theori, công ty an ninh mạng ứng dụng AI, ngày 26/10 cho biết đã tái hiện và xác minh lỗ hổng nghiêm trọng Node2Shell (CVE-2026-111497) trong môi trường chạy Node.js, đồng thời công bố hướng dẫn ứng phó khẩn cấp dành cho doanh nghiệp và tổ chức.

Theo Theori, Node2Shell bắt nguồn từ lỗi ghi ngoài vùng nhớ (out-of-bounds write) trong mô-đun giải nén Brotli được tích hợp hoặc liên kết với Node.js. Kẻ tấn công có thể gửi dữ liệu Brotli được chế tạo đặc biệt mà không cần xác thực, từ đó gây sập máy chủ dưới dạng tấn công từ chối dịch vụ, hoặc khai thác rò rỉ bộ nhớ để thực thi mã từ xa và chiếm quyền điều khiển hệ thống. Nhóm Node.js đánh giá lỗ hổng này ở mức rủi ro cao.

Các phiên bản bị ảnh hưởng gồm các nhánh Node.js 22.x, 24.x và 26.x chưa cài đặt bản vá bảo mật mới nhất. Nhóm bảo mật Node.js đã phát hành bản vá và khuyến nghị người dùng cập nhật lên các phiên bản 22.23.4, 24.22.1, 26.12.1 hoặc mới hơn. Với Node 20 trở xuống, vốn đã hết hỗ trợ chính thức, người dùng cần sớm xác nhận khả năng nhận bản cập nhật bảo mật từ bản phân phối hệ điều hành đang sử dụng hoặc nhà cung cấp hỗ trợ LTS.

Đối với các doanh nghiệp chưa thể cập nhật bản vá ngay do ràng buộc về môi trường hệ thống, Theori đề xuất biện pháp giảm thiểu tạm thời ở lớp reverse proxy như Nginx và ở lớp ứng dụng để chặn tấn công trước khi vá lỗi. Công ty cũng mở dịch vụ chẩn đoán trực tuyến nodejsguard.io, cho phép kiểm tra miễn phí nguy cơ bị ảnh hưởng bởi Node2Shell chỉ với URL của dịch vụ đang vận hành, không cần cài đặt thêm script.

Lim Jun-oh, Trưởng nhóm nghiên cứu AI & an ninh mạng tại Theori, cho biết lỗ hổng Node2Shell có thể ảnh hưởng đến hệ thống ngay trong quá trình framework web xử lý phản hồi, kể cả khi lập trình viên không trực tiếp sử dụng tính năng nén. Theo ông, chặn nguy cơ khai thác từ sớm là ưu tiên quan trọng nhất. Ông cũng khuyến nghị doanh nghiệp sử dụng dịch vụ kiểm tra miễn phí để nhanh chóng chẩn đoán rủi ro, đồng thời triển khai biện pháp tạm thời và sớm áp dụng bản vá mới nhất.