Node.js sẽ phát hành bản vá bảo mật cho ba dòng 26.x, 24.x và 22.x vào hoặc ngay sau thứ Tư, 11/11/2026. Theo thông báo chính thức ngày 3/11, lỗi nghiêm trọng nhất trên mỗi dòng đều ở mức High. Các phiên bản đã hết hỗ trợ — Node 20 và Node 25 — sẽ không nhận được bản vá nào.
Đây là đợt vá thứ tư kể từ khi Node 20 hết hỗ trợ, và là đợt đầu tiên sau khi Node 26 lên Active LTS. Nếu máy chủ của bạn vẫn chạy Node 20, hãy lên kế hoạch rời khỏi nó ngay — càng để lâu, khoảng trống bảo mật càng lớn.
Có gì trong đợt vá ngày 11/11?
- Dự án chưa công bố số lượng lỗ hổng, mã CVE, thành phần bị ảnh hưởng hay số phiên bản chứa bản vá — mọi chi tiết chỉ lộ diện khi bản vá phát hành, theo đúng chính sách embargo.
- Điều duy nhất được xác nhận trước: mỗi dòng đều có ít nhất một lỗi mức High.
- Ngày 11/11 chỉ là mốc dự kiến — đợt vá tháng 7 từng bị hoãn hai lần rồi mới phát hành ngày 29/7.
Node 20 đã bỏ lỡ những gì?
- Node 20 hết hỗ trợ ngày 30/4/2026; bản cuối là 20.20.2 (24/3/2026).
- Kể từ đó, ba đợt vá đã ra mà không có bản 20.x nào: 18/6 (12 CVE), 29/7 (11 CVE), 21/10 (10 CVE) — tổng cộng 33 CVE, trong đó 9 lỗi mức High.
- Đợt 21/10 đáng chú ý nhất với Node2Shell (CVE-2026-111497): lỗi ghi ngoài vùng nhớ trong bộ giải mã Brotli, có thể dẫn tới thực thi mã từ xa, và đã bị CISA ghi nhận là đang bị khai thác.
- Dự án không đánh giá riêng dòng hết hỗ trợ, nên với từng CVE, Node 20 ở trạng thái “chưa vá và chưa được đánh giá”.
Nên nâng cấp lên dòng nào?
- Node 26 “Lithium” lên Active LTS từ 28/10/2026 (bản 26.13.0), hỗ trợ tới 30/4/2029 — lựa chọn dài hạn nhất.
- Node 24 “Krypton” đang ở Maintenance LTS, hỗ trợ tới 30/4/2028 — đường thoát nhanh nhất khỏi Node 20.
- Node 22 “Jod” vẫn được vá đợt này, nhưng hết hỗ trợ ngày 30/4/2027 — không đáng để chuyển sang lúc này.
- Node 25 cũng hết hỗ trợ từ 1/6/2026 (bản cuối 25.9.0); chỉ cần nhảy một major lên Node 26.
Điều này có ý nghĩa gì với bạn
Chạy node -v để kiểm tra phiên bản Node trên máy chủ và CI. Nếu đang ở 26.x, 24.x hoặc 22.x, hãy cập nhật ngay sau ngày 11/11. Nếu vẫn ở Node 20 hoặc 25, đừng chờ bản vá — hãy nâng cấp lên Node 24 (nhanh nhất) hoặc Node 26 (bền nhất) ngay trong tuần này, đồng thời rà soát các API đã bị loại bỏ như createCipher hay url.parse() để tránh lỗi runtime. Một runtime hết hỗ trợ không tự hỏng — nó chỉ lặng lẽ thành điểm yếu mà không ai còn vá cho bạn.
Bài viết liên quan
- Node.js 26.10.0 ra mắt: crypto.parsePKCS12(), fs.openAsBlobSync(), util.throttle()/debounce() và cải tiến SQLite
- Node.js 22.23.3 LTS ra mắt: vá lỗi bộ nhớ HTTP/2 nguy hiểm, ai chạy Node 22 nên cập nhật
- GitHub Actions chính thức “xóa sổ” Node 20 từ 23/9: pipeline của bạn có còn chạy ổn?
Câu hỏi thường gặp
Ngày 11/11 có chắc chắn phát hành bản vá không?
Không hoàn toàn. 11/11 là mốc dự kiến; đợt vá tháng 7 từng bị hoãn hai lần. Hãy theo dõi trang bảo mật của Node.js và danh sách nodejs-sec.
Node 20 có bị ảnh hưởng bởi các lỗi tháng 11 không?
Chưa thể khẳng định vì chi tiết CVE chưa công bố. Nhưng dự án cảnh báo rõ: phiên bản hết hỗ trợ luôn bị ảnh hưởng mỗi khi có đợt vá bảo mật.
Tôi nên nâng cấp lên Node 24 hay Node 26?
Chọn Node 24 nếu cần rời Node 20 ngay trong tuần và nền tảng chưa hỗ trợ đủ Node 26. Chọn Node 26 nếu kiểm thử lại được toàn bộ hệ thống, vì nó được hỗ trợ tới tháng 4/2029.
💬 Tin này ảnh hưởng tới dự án của bạn thế nào? Chia sẻ góc nhìn của bạn trong phần bình luận — mình đọc hết và sẽ tổng hợp những ý hay nhất.
Nguồn tham khảo
- Node.js — Wednesday, November 11, 2026 Security Releases — https://nodejs.org/en/blog/vulnerability/november-2026-security-releases
- Apidog — Still on Node.js 20? The November 11 Security Release Won’t Patch You — https://apidog.com/blog/nodejs-20-end-of-life-no-security-patch/
- Cyber Kendra — Node.js November 2026 Security Release: High-Severity Fixes — https://www.cyberkendra.com/2026/11/node-js-november-2026-security-release-high-severity-fixes.html