CVE-2026-85091 trong zlib Ubuntu: khi nào máy chủ gặp rủi ro?

zlib xuất hiện trong rất nhiều phần mềm máy chủ để nén và giải nén dữ liệu. Vì thế, một lỗi trong thư viện này không chỉ liên quan đến một dịch vụ có tên “zlib”; ứng dụng web, công cụ sao lưu hoặc chương trình tự biên dịch có thể đang dùng nó. Ngày 22/10/2026, Ubuntu phát hành USN-8954-1 cho CVE-2026-85091.

Ubuntu xác nhận điều gì?

Theo USN-8954-1, zlib xử lý sai một số thao tác ghi không chặn. Đầu vào được tạo đặc biệt có thể gây tràn bộ đệm heap, dẫn tới từ chối dịch vụ hoặc thực thi mã tùy ý.

Ghi không chặn nghĩa là chương trình không chờ toàn bộ dữ liệu được ghi xong trước khi tiếp tục. Không phải mọi lần nén đều tự động kích hoạt lỗi. Mức rủi ro của từng máy phụ thuộc ứng dụng nào gọi đường mã này và liệu kẻ tấn công có kiểm soát được dữ liệu đưa vào hay không.

Phiên bản gói đã sửa

USN liệt kê các gói zlib1g, gói phát triển và biến thể 32/64/x32 tương ứng. Một cập nhật hệ thống chuẩn thường đủ để cài bản sửa, nhưng ứng dụng giữ thư viện cũ trong bộ nhớ có thể cần được khởi động lại. Canonical không nêu bằng chứng khai thác thực tế trong thông báo.

Tìm dịch vụ nào thực sự phụ thuộc zlib

1. Kiểm tra bản phân phối và phiên bản gói bằng dpkg-query -W zlib1g; đối chiếu đầy đủ epoch và revision của Ubuntu.
2. Dùng công cụ kiểm tra tiến trình cần khởi động lại sau cập nhật, hoặc xem thư viện ánh xạ của các tiến trình quan trọng.
3. Liệt kê container và ứng dụng đóng gói tĩnh; cập nhật host không thay thư viện đã nằm trong image hay binary tĩnh.
4. Ưu tiên dịch vụ nhận tệp nén, dữ liệu do người dùng tải lên, luồng sao lưu hoặc đầu vào mạng có nén.
5. Cập nhật ở môi trường thử nghiệm, kiểm tra giải nén, tải tệp, sao lưu, API và mức dùng CPU/bộ nhớ.
6. Triển khai từng nhóm máy, khởi động lại dịch vụ cần thiết và xác nhận phiên bản/image thực tế sau thay đổi.
7. Rà crash, core dump, lỗi bộ nhớ và tiến trình con bất thường trước và sau thời điểm vá.

Container và phần mềm tự biên dịch là điểm dễ bỏ sót

Nếu image container được xây trên Ubuntu 24.04, cần rebuild từ base image đã cập nhật rồi triển khai digest mới. Chỉ chạy apt upgrade trên host không sửa thư viện trong image. Ngược lại, ứng dụng liên kết tĩnh có thể mang bản zlib riêng và không chịu sự quản lý của gói zlib1g; đội phát triển phải kiểm tra SBOM, tức danh mục thành phần phần mềm.

Không nên quét rồi xóa mọi tệp có chữ zlib. Một máy có thể cần nhiều bản phục vụ phần mềm khác nhau. Hành động an toàn là xác định nguồn gói, ứng dụng sử dụng và bản sửa tương ứng.

Tác động với máy chủ Việt Nam

CVE này có thể liên quan VPS web, máy chủ sao lưu và pipeline dữ liệu AI, nhưng không có nghĩa tất cả đều dễ bị khai thác từ Internet. Đội vận hành nên xếp ưu tiên theo mức phơi dữ liệu đầu vào và quyền của tiến trình. Một dịch vụ chạy quyền thấp trong container tách biệt có phạm vi hậu quả khác tiến trình chạy quyền root trên host.

Câu hỏi thường gặp

Nguồn tham khảo

Canonical Ubuntu Security Notice USN-8954-1, công bố ngày 22/10/2026; mã CVE-2026-85091.

Bước tiếp theo

Đội vận hành nên chuẩn bị phiên bản Ubuntu, danh sách dịch vụ/container, nguồn image và cửa sổ bảo trì. Gửi thông tin qua trang Thuê Cloud VPS để trao đổi kế hoạch kiểm tra tài nguyên và triển khai lại; ưu tiên vá đúng thành phần trước khi quyết định nâng cấu hình.