Node.js sắp phát hành bản vá bảo mật ngày 11/11 cho ba dòng 26.x, 24.x và 22.x

Node.js vừa báo trước sẽ phát hành bản vá bảo mật vào hoặc ngay sau thứ Tư, 11/11/2026, cho ba dòng 26.x, 24.x và 22.x. Mức nghiêm trọng cao nhất trong đợt này là HIGH. Bài này nói rõ phiên bản bạn đang chạy có nằm trong diện vá không, và bạn nên làm gì trước ngày đó.

Có gì mới vào ngày 11/11

Theo thông báo trước chính thức của Node.js, ba dòng 26.x, 24.x và 22.x sẽ có bản mới vào hoặc ngay sau thứ Tư, 11/11/2026, để sửa các lỗ hổng bảo mật. Mức nghiêm trọng cao nhất được sửa trong đợt này là HIGH, ở cả ba dòng.

Vì sao chưa có mã CVE hay số phiên bản bản vá

Node.js chỉ công bố mã CVE, chi tiết kỹ thuật và số phiên bản bản vá cùng lúc với bản vá chính thức. Tới lúc bài này đăng, chưa có thông tin nào trong ba thứ đó để tra cứu, và bài này cũng không đoán thay.

Ai bị ảnh hưởng

Nếu bạn đang chạy một trong ba dòng 26.x, 24.x hoặc 22.x, bạn sẽ nhận được bản vá trong đợt này.

Các phiên bản đã hết hỗ trợ cũng luôn nằm trong diện bị ảnh hưởng mỗi khi có bản vá bảo mật, theo chính thông báo của Node.js. Node.js khuyên dùng phiên bản mới nhất theo lịch phát hành của họ.

Ngày 11/11 có chắc chắn không

11/11 là ngày dự kiến, không phải cam kết. Thông báo ghi bản vá sẽ có “vào hoặc ngay sau” thứ Tư, 11/11/2026, nên bản vá có thể ra muộn hơn một chút.

Bạn nên làm gì ngay bây giờ

Mở Terminal trên máy của bạn và gõ lệnh sau để xem phiên bản Node.js đang chạy:

node -v

Lệnh này in ra phiên bản Node.js đang chạy trên máy của bạn. Con số đầu tiên sau chữ v cho biết bạn đang ở dòng nào. Nếu số đó là 26, 24 hoặc 22, bạn nằm trong diện được vá: đợi bản vá chính thức rồi cập nhật. Nếu là dòng cũ hơn, đã hết hỗ trợ, bạn nên nâng cấp lên một trong ba dòng trên thay vì chờ bản vá. Bạn chưa cần làm gì với mã CVE, vì chưa có mã nào để tra.

Đừng nhầm với đợt vá ngày 21/10

Đợt 21/10/2026 là một đợt khác và đã có bản vá: 22.23.4, 24.22.1 và 26.12.1. Đợt đó sửa 10 lỗ hổng, trong đó có CVE-2026-111497 (Node2Shell, lỗi trong thư viện Brotli). Lỗ hổng này được chấm 9.2 trên thang CVSS 4.0 (thang 3.1 là 9.8). CVSS là thang điểm mức độ nghiêm trọng của lỗ hổng, tối đa 10, điểm càng cao càng nguy hiểm. Nó cũng đang bị khai thác thực tế, và đã vào danh sách CISA KEV từ ngày 27/10. CISA KEV là danh sách các lỗ hổng đã được xác nhận đang bị khai thác, do cơ quan an ninh mạng Mỹ (CISA) công bố.

Đợt 11/11 là đợt mới, và chưa có bằng chứng nào nối nó với Brotli hay với CVE-2026-111497.

Nếu bạn chưa cập nhật từ đợt 21/10, hãy cập nhật lên bản vá của đợt đó trước, đừng đợi tới 11/11.

Mình sẽ cập nhật bài này ngay khi Node.js công bố số phiên bản bản vá và mã CVE chính thức vào 11/11.

Nguồn tham khảo

Các nguồn dưới đây được kiểm chứng ngày 05/11/2026.

• Node.js — Wednesday, November 11, 2026 Security Releases
• Node.js — Wednesday, October 21, 2026 Security Releases