Debian vá 5 lỗ hổng NGINX: quản trị VPS cần làm gì?

Một VPS chạy NGINX thường đứng ngay trước ứng dụng, nên lỗi ở lớp này có thể ảnh hưởng cả website lẫn API phía sau. Ngày 21/10/2026, Debian công bố DSA-6575-1 cho năm lỗ hổng NGINX. Mức rủi ro phụ thuộc cấu hình: không phải máy chủ nào cũng gặp đủ năm lỗi, nhưng quản trị viên Debian 13 nên kiểm tra và cập nhật sớm.

DSA-6575-1 thay đổi điều gì?

Theo thông báo chính thức của Debian, bản sửa cho Debian 13 “trixie” nằm trong gói nginx 1.26.3-3+deb13u10. Debian nêu bốn nhóm hậu quả có thể xảy ra: hỏng bộ nhớ, từ chối dịch vụ, chèn yêu cầu tới máy chủ backend và vượt xác thực bằng chứng thư phía khách.

Riêng CVE-2026-93479 cần lưu ý vì Debian cho biết đoạn mã bị ảnh hưởng được đưa vào gói trixie từ một bản vá bảo mật trước đó. Đây là lý do không nên chỉ so phiên bản NGINX với bản upstream; phải so đúng phiên bản gói của Debian đang cài.

Máy chủ nào nên được ưu tiên?

Hãy ưu tiên NGINX công khai Internet, reverse proxy cho API, cổng vào HTTP/3, hệ thống dùng xác thực chứng thư khách (mTLS) và cấu hình có alias, biến trong root hoặc đường dẫn access log. mTLS là cơ chế cả máy chủ lẫn máy khách đều dùng chứng thư để xác thực nhau; nếu môi trường dùng nó cho API quản trị, CVE-2026-97629 đáng được xếp cao.

Thông báo Debian không nói các CVE này đang bị khai thác thực tế. Vì vậy, không nên diễn giải rằng mọi VPS đã bị xâm nhập. Cách đúng là coi đây là một đợt vá có tác động cao, kiểm tra dấu hiệu bất thường song song với cập nhật.

Checklist nâng cấp không làm gián đoạn dịch vụ

1. Lập danh sách máy chạy Debian 13 và xác nhận phiên bản bằng dpkg-query -W nginx nginx-common.
2. Sao lưu cấu hình /etc/nginx, kiểm tra nginx -T để tìm alias, HTTP/3, mTLS và các đường dẫn dùng biến.
3. Cập nhật chỉ mục gói, nâng NGINX lên tối thiểu 1.26.3-3+deb13u10, rồi chạy nginx -t trước khi reload.
4. Nếu có cụm nhiều nút, vá một nút thử nghiệm trước; theo dõi mã lỗi 4xx/5xx, kết nối backend và bắt tay TLS.
5. Xác nhận tiến trình worker mới đã chạy đúng gói, kiểm thử giới hạn body, HTTP/3 và chứng thư khách nếu đang dùng.
6. Rà access log, error log và log backend quanh thời điểm trước vá; chuyển sang điều tra sự cố nếu thấy yêu cầu bất thường.

Reload thường ít gián đoạn hơn restart, nhưng cách triển khai phải theo kiến trúc thực tế. Với máy đơn, nên chuẩn bị cửa sổ bảo trì và phương án quay lại cấu hình cũ; không hạ phiên bản gói nếu chưa đánh giá rủi ro bảo mật.

Ảnh hưởng tới doanh nghiệp thuê VPS tại Việt Nam

Tác động lớn nhất không nằm ở thông số CPU hay RAM mà ở thời gian vá và khả năng kiểm thử. Doanh nghiệp cần biết ai chịu trách nhiệm cập nhật hệ điều hành, NGINX do kho Debian hay kho bên ngoài cung cấp, và backend có cơ chế giới hạn yêu cầu riêng hay không. Nếu dùng ảnh máy chủ cũ, hãy kiểm tra cả máy đang chạy lẫn mẫu dùng để tạo VPS mới.

Đội vận hành cũng nên tách NGINX công khai khỏi bảng quản trị, chỉ cho phép mạng tin cậy truy cập cổng quản trị và duy trì giới hạn yêu cầu ở backend. Đây là lớp phòng thủ bổ sung, không thay cho bản vá.

Câu hỏi thường gặp

Nguồn tham khảo

Debian Security Advisory DSA-6575-1, công bố ngày 21/10/2026: nginx security update. Theo dõi trạng thái từng gói tại Debian Security Tracker.

Bước tiếp theo

Nếu bạn quản trị VPS Debian, hãy chuẩn bị phiên bản hệ điều hành, nguồn cài NGINX, kết quả nginx -T đã che thông tin nhạy cảm và thời gian có thể bảo trì. Gửi các thông tin đó qua trang Thuê Cloud VPS để đội ngũ tư vấn giúp xác định cấu hình phù hợp và kế hoạch kiểm tra trước khi thay đổi; không cần nâng tài nguyên nếu vấn đề chỉ là bản vá phần mềm.