Oracle vá MySQL tháng 10: rà Group Replication, JSON và nâng cấp đúng nhánh

Đợt vá mới liên quan trực tiếp dữ liệu vận hành doanh nghiệp

Oracle công bố Critical Patch Update tháng 10/2026 ngày 20/10, trong đó họ sản phẩm MySQL có 98 bản vá bảo mật mới. Hãng cho biết 29 lỗ hổng trong phạm vi họ sản phẩm này có thể bị khai thác từ xa mà không cần thông tin đăng nhập. Đây không phải kết luận rằng mọi cơ sở dữ liệu MySQL đều có 29 đường tấn công giống nhau.

Cùng ngày, release notes MySQL 8.4.13 đã được công bố. Doanh nghiệp vận hành ERP, website bán hàng hoặc ứng dụng nội bộ dùng MySQL nên kiểm kê nhánh và thành phần thực tế, sau đó sắp lịch nâng cấp. Bản tin tập trung MySQL; con số 1.295 security patches toàn bộ CPU Oracle không phải số CVE duy nhất hoặc số lỗi riêng của MySQL.

Hai ví dụ cho thấy điều kiện ảnh hưởng khác nhau

Trong risk matrix, CVE-2026-101781 thuộc Server: Group Replication GCS, điểm CVSS 3.1 là 8.8. Oracle ghi không cần xác thực nhưng attack vector là adjacent network, tức cần khả năng tiếp cận mạng lân cận phù hợp. Các phiên bản MySQL Server được liệt kê là 8.4.0–8.4.12, 9.7.0–9.7.3 và 26.7.0–26.7.1; matrix cũng có dòng MySQL Cluster tương ứng.

Với CVE-2026-101785 ở Server: JSON, điểm là 8.3, tiếp cận qua mạng nhưng cần quyền thấp. Tác động được matrix ghi nhận có ảnh hưởng cao tới tính toàn vẹn và khả dụng: dữ liệu hoặc dịch vụ có thể bị tác động khi các điều kiện khai thác được đáp ứng. Không nên mô tả lỗi này như một cuộc tấn công vô điều kiện từ Internet mà không cần tài khoản.

Các mục curl/OpenSSL, client programs, connector và công cụ sao lưu có phạm vi khác. Đội kỹ thuật cần đọc đúng dòng sản phẩm, component và protocol, không gộp điểm 9.8 của một thành phần thành điểm cho mọi chức năng. Risk matrix mô tả khả năng khai thác; nó không tự chứng minh các CVE mới đã bị khai thác ngoài thực tế.

Bản sửa phải đi cùng nhánh và mô hình triển khai

Đối với nhánh 8.4, MySQL đã có release notes 8.4.13 ngày 20/10; đây là mốc mới cần đối chiếu cùng advisory và gói phân phối. Với nhánh khác, hãy dùng patch availability và release notes tương ứng, không tự suy số bản sửa bằng cách cộng một vào số cuối. Nếu dùng dịch vụ cơ sở dữ liệu được quản trị sẵn, kiểm tra thông báo và maintenance window của chính dịch vụ đó.

Friday Works khuyến nghị rà cả máy chính, bản sao, thành viên Group Replication và công cụ client/backup trong phạm vi quản lý. Một bảng điều khiển báo máy chính đã nâng cấp không chứng minh các thành viên còn lại hoặc connector trong ứng dụng đã được xử lý. Tránh để các thành phần bị bỏ quên tiếp tục dùng tài khoản có quyền rộng.

Nghiệm thu bằng bản sao lưu và tác vụ nghiệp vụ thật

Trước thay đổi, xác nhận có bản sao lưu khôi phục được và thử gói cập nhật trong môi trường phù hợp. Sau thay đổi, kiểm tra phiên bản đang chạy, trạng thái replication, lỗi kết nối và các truy vấn nghiệp vụ đại diện. Với ứng dụng có dùng JSON, chọn thêm tác vụ thật có trường JSON để kiểm tra khả năng tương thích; không cần thử khai thác lỗ hổng trên hệ thống khách hàng.

Nếu chưa thể vá ngay, hạn chế đường truy cập cơ sở dữ liệu vào đúng máy ứng dụng và quản trị cần thiết, rà quyền tài khoản và phối hợp lịch xử lý với đơn vị vận hành. Đây là giảm thiểu bề mặt tiếp cận do Friday Works khuyến nghị, không thay thế bản vá hoặc bảo đảm chặn mọi lỗi trong CPU.

Ảnh bìa là Administration > Server Status thật của MySQL Workbench 8 trên Windows 10, tư liệu DnaX ngày 16/11/2020, GPL 2.0 hoặc mới hơn. Máy chủ mẫu trong ảnh là 5.7.19; không đổi nhãn để giả là 8.4.13 và không coi ảnh là kết quả nâng cấp tháng 10/2026.