Mục lụcChạm để xem nhanh các phần＋
- Activepieces phát hành 0.92.3-hotfix.1 ngày 23/10/2026, nâng Node.js trong Docker lên 24.22.1 để xử lý đợt lỗ hổng bảo mật tháng 10. Doanh nghiệp tự vận hành nền tảng tự động hóa này cần kiểm tra image thực sự đang chạy, chuẩn bị sao lưu và cập nhật các thành phần liên quan. Đừng chỉ nhìn việc màn hình quản trị còn mở được.
- Node.js là môi trường thực thi mã của nhiều dịch vụ web và công cụ tích hợp. Đợt vá ngày 21/10 áp dụng cho các nhánh 22.x, 24.x và 26.x. Trong đó, CVE-2026-111497 được xếp mức cao: bộ giải nén Brotli có thể bị hỏng bộ nhớ nếu ứng dụng giải nén dữ liệu do bên không đáng tin kiểm soát.
Bản hotfix thay môi trường chạy trong Docker
Activepieces phát hành 0.92.3-hotfix.1 ngày 23/10/2026, nâng Node.js trong Docker lên 24.22.1 để xử lý đợt lỗ hổng bảo mật tháng 10. Doanh nghiệp tự vận hành nền tảng tự động hóa này cần kiểm tra image thực sự đang chạy, chuẩn bị sao lưu và cập nhật các thành phần liên quan. Đừng chỉ nhìn việc màn hình quản trị còn mở được.
Thông báo hotfix nêu thay đổi ở nền tảng Node.js, không công bố một lỗi mới riêng trong mã Activepieces hay xác nhận khách hàng đã bị tấn công. Bản tin đăng ngày 25/10 dẫn đúng ngày phát hành 23/10. Người dùng dịch vụ do nhà cung cấp vận hành nên yêu cầu xác nhận trạng thái; không tự suy rằng bản vá đã được áp dụng cho mọi tài khoản đám mây.
Đây là bản phát hành riêng của Activepieces, khác với cập nhật quy tắc tường lửa Cloudflare ngày 25/10. Hai diễn biến có chung một phần bối cảnh lỗ hổng Node.js, nhưng xử lý hai lớp khác nhau: phần mềm thực sự chạy workflow và lưu lượng đi qua mạng biên.
Tác vụ tự động cũng là một ứng dụng cần vá
Node.js là môi trường thực thi mã của nhiều dịch vụ web và công cụ tích hợp. Đợt vá ngày 21/10 áp dụng cho các nhánh 22.x, 24.x và 26.x. Trong đó, CVE-2026-111497 được xếp mức cao: bộ giải nén Brotli có thể bị hỏng bộ nhớ nếu ứng dụng giải nén dữ liệu do bên không đáng tin kiểm soát.
Hậu quả có thể gồm dừng tiến trình, lộ nội dung bộ nhớ hoặc chạy mã từ xa. Một luồng tự động hóa thường tiếp nhận dữ liệu từ webhook hoặc tải nội dung bên ngoài, nhưng điều đó chưa chứng minh mọi luồng Activepieces đều đi qua đường lỗi. Cần đối chiếu cách triển khai và dữ liệu thực tế thay vì tuyên bố toàn bộ hệ thống đã bị khai thác.
Bản 24.22.1 là mốc Node.js đã vá trong nhánh 24.x mà Activepieces chọn cho hotfix này. Không cần tự nhảy sang phiên bản Node.js lớn khác chỉ để vượt một số phiên bản. Với bản dựng tùy chỉnh, nhóm vận hành phải đối chiếu cả mã ứng dụng, môi trường chạy và cách đóng gói; tên image hoặc thẻ phiên bản chưa đủ chứng minh tiến trình bên trong đã đổi.
Đừng bỏ sót worker ngoài máy chủ giao diện
Tài liệu Activepieces mô tả worker là thành phần lấy công việc từ hàng đợi và thực thi flow. Khi tách ứng dụng và worker thành nhiều container hoặc máy chủ, việc cập nhật mỗi giao diện có thể để lại thành phần xử lý cũ. Friday Works khuyến nghị ghi rõ thành phần nào dùng cùng image nền và ai chịu trách nhiệm thay nó.
Ảnh được chụp trực tiếp từ image chính thức 0.92.3-hotfix.1 chạy trong môi trường thử riêng ngày 25/10. Friday Works kiểm tra tiến trình Node.js bên trong là 24.22.1; mã gói ứng dụng vẫn ghi 0.92.3 và không bị sửa trong ảnh. Màn hình Workers và Health thể hiện môi trường cục bộ, không phải số liệu khách hàng, bằng chứng hiệu năng hay cam kết an toàn tổng thể.
Với một ví dụ đồng bộ dữ liệu từ website sang CRM, cần thử cả bước nhận yêu cầu, tác vụ chạy nền và kết quả ở nơi nhận. Giao diện báo trực tuyến chỉ cho biết một phần trạng thái. Luồng không xuất hiện lỗi nhưng không tạo kết quả đúng vẫn cần điều tra trước khi đóng công việc bảo trì.
Nâng cấp có bằng chứng và kiểm tra luồng quan trọng
Trước thay đổi, lưu cấu hình triển khai, dữ liệu và những thông tin cần cho khôi phục theo quy trình của hệ thống. Đọc mục thay đổi không tương thích của Activepieces cho khoảng phiên bản đang nâng cấp, rồi thử bằng tài khoản và dữ liệu mẫu. Không kéo thẻ mới vào môi trường chính trước khi biết cách quay về bản sao lưu phù hợp. Lịch sử phiên bản workflow giúp đối chiếu cấu hình luồng, nhưng không thay kiểm tra phiên bản image hoặc Node.js.
Sau khi thay image và khởi động lại các thành phần cần thiết, xác nhận phiên bản Node.js trong chính container phục vụ tác vụ. Chạy một flow thử không gây giao dịch thật, kiểm tra kết quả và lịch sử thực thi. Với luồng gửi hóa đơn, thông báo hoặc ghi dữ liệu, rà khả năng chống ghi trùng trước khi chạy bù các tác vụ còn dang dở.
Cuối cùng, lưu phiên bản image, kết quả kiểm tra và thời điểm từng worker hoàn tất. Nhật ký thực thi giúp xác nhận dịch vụ hoạt động nhưng không tự chứng minh chưa từng có xâm nhập. Nếu có dấu hiệu bất thường đáng tin, mở quy trình ứng phó riêng; cập nhật phần mềm không thay việc đánh giá bí mật và dữ liệu có thể đã bị ảnh hưởng.
Nguồn tham khảo
Tài liệu đã dùng để biên soạn
Ưu tiên tài liệu chính thức và nguồn kỹ thuật gốc. Truy cập để kiểm tra chi tiết hoặc theo dõi cập nhật mới nhất.
- Runtime security hotfix released October 23, 2026Activepieces ↗︎
- Original Node.js October 21 security advisory, conditions and affected branchesNode.js Project ↗︎
- Worker execution architectureActivepieces ↗︎
- Breaking changes to review before upgradingActivepieces ↗︎
- Cover and inline: original Friday Works Workers/Health captures from official Activepieces0.92.3-hotfix.1 image, October 25, 2026; Node runtime actually verified24.22.1, base app label0.92.3 preserved; isolated test data, crop/resize/framing onlyFriday Works / Activepieces contributors ↗︎
- Exact hotfix Dockerfile: Node 24.22.1 base imageActivepieces ↗︎
- MIT licence for applicable open-source code; excluded enterprise directories retain separate termsActivepieces contributors ↗︎