Debian thu hồi 3 CA eMudhra trong NSS: quản trị VPS cần làm gì?

Một VPS Debian có thể vẫn hoạt động bình thường nhưng tiếp tục tin một tổ chức phát hành chứng thư không còn an toàn. Ngày 31/10/2026, Debian công bố DSA-6599-1 cho gói NSS trên Debian 13 “trixie”, loại ba chứng thư gốc eMudhra sau sự cố liên quan các chứng thư trung gian. Quản trị viên nên xem đây là thay đổi kho tin cậy, không phải một lỗi ứng dụng đơn lẻ.

Điều gì đã thay đổi trong DSA-6599-1?

NSS, viết tắt của Network Security Services, là bộ thư viện mã hóa và kho chứng thư được Firefox cùng nhiều ứng dụng dùng để kiểm tra kết nối TLS. TLS là lớp mã hóa bảo vệ dữ liệu khi trình duyệt hoặc dịch vụ gọi HTTPS. Theo thông báo Debian, ba gốc bị loại là eMudhra emSign Root CA - G3, eMudhra emSign Root CA - C1 và emSign ECC Root CA - C3.

Sự kiện cần phân biệt rõ: Debian không nói mọi máy chủ dùng NSS đã bị xâm nhập. Rủi ro nằm ở việc tiếp tục tin chuỗi chứng thư đi qua các gốc đã bị ảnh hưởng. Cập nhật làm cho ứng dụng dựa vào NSS từ chối chuỗi đó, nhờ vậy giảm khả năng chấp nhận một danh tính TLS không còn đáng tin.

Phiên bản nào cần kiểm tra?

Bản Debian 13 trixie bị ảnh hưởng là 2:3.110-1+deb13u4; bản đã sửa là 2:3.110-1+deb13u5. Thông tin này có trong Debian Security Tracker. Thông báo không gắn một mã CVE riêng; đây là hành động thu hồi tin cậy đối với CA, tức tổ chức phát hành chứng thư số.

Ảnh hưởng thực tế tới VPS và máy chủ Việt Nam

Máy chủ web chỉ dùng OpenSSL không đồng nghĩa chắc chắn chịu tác động trực tiếp, vì mỗi ứng dụng có thể dùng kho chứng thư khác nhau. Tuy nhiên, Firefox chạy trên máy quản trị, công cụ tự động hóa, dịch vụ JavaScript nhúng hoặc phần mềm tích hợp NSS có thể thay đổi kết quả xác thực. Sau khi vá, một kết nối tới hệ thống đối tác dùng chuỗi eMudhra cũ có thể thất bại. Đó thường là tín hiệu chuỗi chứng thư phía đối tác cần thay, không phải lý do để khôi phục gốc đã bị loại.

Doanh nghiệp có API thanh toán, ký số hoặc dịch vụ đối tác nên kiểm tra cả chiều máy khách. Một tác vụ định kỳ gọi HTTPS từ VPS có thể là nơi lỗi xuất hiện đầu tiên. Hãy ghi nhận tên miền, chuỗi chứng thư và thông báo lỗi thay vì tắt xác minh TLS để “chạy tạm”; tắt xác minh sẽ loại bỏ lớp bảo vệ quan trọng.

Checklist cập nhật an toàn

1. Lập danh sách VPS Debian 13 và kiểm tra dpkg-query -W libnss3 để biết phiên bản đang cài.
2. Cập nhật chỉ mục gói, cài bản vá từ kho Debian chính thức và xác nhận phiên bản đạt 2:3.110-1+deb13u5 hoặc mới hơn.
3. Khởi động lại dịch vụ dùng NSS; nếu không biết tiến trình nào đang giữ thư viện cũ, lên lịch khởi động lại VPS trong cửa sổ bảo trì.
4. Kiểm thử các kết nối HTTPS quan trọng: API đối tác, trình duyệt quản trị, webhook và tác vụ nền.
5. Nếu phát sinh lỗi chứng thư, lấy chuỗi chứng thư phía xa để đối tác xử lý; không nhập lại ba gốc đã bị Debian loại.
6. Ghi bằng chứng cập nhật, thời điểm kiểm thử và dịch vụ chịu ảnh hưởng vào hồ sơ thay đổi.

Không nên nhầm thu hồi CA với thay chứng thư máy chủ

Phần lớn VPS không cần thay chứng thư Let’s Encrypt hay chứng thư đang phục vụ chỉ vì DSA-6599-1. Việc cần làm trước là xác định chuỗi hiện tại có đi qua ba gốc eMudhra hay không. Nếu không, cập nhật NSS vẫn cần thiết nhưng không nên gây thay đổi ứng dụng. Nếu có, chủ dịch vụ phải xin cấp lại chuỗi từ một CA được tin cậy và triển khai theo quy trình thông thường.

Nguồn tra cứu

Bước tiếp theo cho quản trị viên

Nếu đang quản lý nhiều VPS Debian, hãy gửi đội kỹ thuật danh sách phiên bản hệ điều hành, kết quả dpkg-query -W libnss3, các API HTTPS quan trọng và cửa sổ bảo trì. Có thể dùng trang Cloud VPS để trao đổi cấu hình đang vận hành và nhu cầu hỗ trợ hạ tầng; mục tiêu là lập kế hoạch kiểm tra, cập nhật và hoàn nguyên có kiểm soát, không phải nâng cấp tài nguyên khi chưa cần.