Lỗ hổng Java tháng 10/2026: cảnh báo IPA và lưu ý giấy phép

Ngày 21/10/2026, IPA (Cơ quan Xúc tiến Công nghệ Thông tin Nhật Bản) đã ra cảnh báo "Oracle Java の脆弱性対策について(2026年10月)" (Biện pháp đối phó lỗ hổng Oracle Java, tháng 10/2026). Cảnh báo được đưa ra sau đợt cập nhật bảo mật định kỳ của Oracle và kêu gọi doanh nghiệp cập nhật sớm, vì nếu bị tấn công thì hậu quả có thể rất nghiêm trọng.

Cảnh báo của IPA (tháng 10/2026) nói gì?

Ngày 20/10/2026 (giờ Mỹ), Oracle phát hành bản cập nhật bảo mật định kỳ Critical Patch Update (CPU). Trong đó có 55 bản sửa cho Oracle Java SE, 49 lỗ hổng có thể bị khai thác qua mạng mà không cần đăng nhập.

Theo IPA, nếu bị khai thác, ứng dụng có thể bị dừng hoặc máy tính bị chiếm quyền điều khiển. Các phiên bản IPA nêu tên là:

Cảnh báo của IPA là khuyến nghị, không phải quy định pháp luật. Tuy vậy, nếu hệ thống xử lý dữ liệu khách hàng, việc để nguyên không vá là rủi ro lớn.

5 bước kiểm tra Java và xử lý

1. Xác định có dùng Java không

   Java có thể nằm trong hệ thống nghiệp vụ, dịch vụ web hoặc phần mềm đóng gói. Nếu không chắc, cách nhanh nhất là hỏi bên phát triển hoặc bảo trì: "Chúng tôi có dùng Java không? Phiên bản nào?"

2. Kiểm tra phiên bản và hãng phát hành

   Trên máy chủ hoặc máy tính, lệnh java -version sẽ hiện phiên bản. Nếu thấy "Java(TM) SE" là bản của Oracle; thấy "OpenJDK" thì thường là bản do hãng khác phát hành.

3. Với máy tính cá nhân, dùng MyJVN

   Trang của IPA cũng giới thiệu công cụ "MyJVN バージョンチェッカ" (MyJVN Version Checker) để kiểm tra phiên bản phần mềm cài trên máy tính.

4. Nếu dùng Oracle JDK, kiểm tra giấy phép

   Nếu đang dùng Java 21 của Oracle hoặc tương tự cho công việc, hãy xem thay đổi giấy phép của bản cập nhật (phần tiếp theo).

5. Cập nhật lên bản mới nhất

   Kiểm tra hoạt động trên môi trường kiểm thử trước, rồi mới cập nhật môi trường thật. Máy tính nào không ai dùng Java thì gỡ bỏ là an toàn nhất.

Lưu ý: bản cập nhật Oracle JDK 21 không còn miễn phí cho môi trường thật

Đợt cập nhật này còn kèm thay đổi về giấy phép. Dựa trên thông tin của Oracle, đây là con đường của một doanh nghiệp đang chạy Oracle JDK 21 miễn phí trên môi trường thật.

Đến 9/2026Đến 21.0.12NFTC: miễn phí, kể cả cho công việc

Từ 20/10/2026Từ 21.0.13OTN: môi trường thật thường cần thuê bao trả phí

Việc cần làmChọn một hướngThuê bao / Java 25 / OpenJDK

NFTC (No-Fee Terms and Conditions) cho phép dùng miễn phí, kể cả trên môi trường thật. OTN thường yêu cầu thuê bao trả phí khi dùng trên môi trường thật.

Nên chọn hướng nào?

Mua thuê bao Oracle

Giữ nguyên phiên bản và tiếp tục nhận bản cập nhật của Oracle.

Phù hợp khi chưa thể đổi phiên bản ngay hoặc cần hỗ trợ từ Oracle.

Lên Oracle JDK 25

Được dùng miễn phí lâu hơn (dự kiến đến tháng 9/2028).

Phù hợp khi đang dùng 17 hoặc 21 và có thể kiểm thử việc chuyển đổi.

Chuyển sang OpenJDK

Dùng bản phân phối miễn phí như Eclipse Temurin hoặc Amazon Corretto.

Phù hợp khi muốn tiết kiệm chi phí. Cần xem cả thời gian hỗ trợ của bên phát hành.

Lịch hỗ trợ Java của Oracle

Thời hạn hỗ trợ trả phí của Oracle như sau. Các phiên bản dùng lâu dài là bản "LTS" (hỗ trợ dài hạn).

Hỗ trợ tiêu chuẩn là Premier Support, hỗ trợ mở rộng là Extended Support (tên gọi của Oracle). Đây là thời hạn hỗ trợ khi có hợp đồng với Oracle. Nếu không có hợp đồng, cần xem thêm phần giấy phép ở trên.

Các mốc chính theo thời gian:

• Tháng 9/2026
  Java 17 hết Premier Support. Bản cập nhật cuối cùng của Oracle JDK 21 theo điều khoản miễn phí NFTC là 21.0.12
• 20/10/2026
  Oracle phát hành Critical Patch Update: 55 bản sửa cho Java SE. Oracle JDK 21 chuyển sang giấy phép OTN từ 21.0.13
• 21/10/2026
  IPA ra cảnh báo về Oracle Java
• Tháng 9/2028
  Java 21 hết Premier Support. Bản cập nhật miễn phí NFTC của Oracle JDK 25 dự kiến kết thúc
• Tháng 9/2029
  Java 17 hết Extended Support
• Tháng 12/2030
  Java 8 hết Extended Support

Lịch hết hỗ trợ của Node.js, Python, .NET và hệ điều hành máy chủ được tổng hợp trong bài bảo mật hệ thống cũ: bắt đầu từ đâu. Bản vá Node.js cùng tuần xem tại bài lỗ hổng Node.js tháng 10/2026.

Nâng cấp từ Java 8 hoặc 11 gồm những gì?

Cập nhật trong cùng một dòng (ví dụ 21.0.12 → 21.0.13) là việc tương đối nhỏ. Còn chuyển từ Java 8 lên 17, 21 hoặc 25 có thể tốn công hơn vì:

BƯỚC 1Khảo sátLiệt kê phiên bản, thư viện

BƯỚC 2Kiểm thửChuyển đổi ở môi trường riêng

BƯỚC 3Chuyển môi trường thậtCó sẵn cách quay lại

BƯỚC 4Theo dõiKiểm tra lỗi một thời gian

Thời gian và chi phí khác nhau rất nhiều tùy quy mô và độ cũ của hệ thống, nên hãy bắt đầu bằng khảo sát để thấy toàn cảnh.

Để nguyên hay xử lý?

Những câu nên hỏi bên phát triển hoặc bảo trì

• Hệ thống của chúng tôi dùng Java của hãng nào, phiên bản nào?
• Khi nào có thể áp dụng bản cập nhật tháng 10/2026?
• Nếu dùng Oracle JDK, giấy phép hiện tại có còn ổn không?
• Chuyển sang Java 25 hoặc OpenJDK tốn bao nhiêu công sức?
• Có framework hay thư viện nào đã hết hỗ trợ không?

Những tình huống thường gặp

Digi Dinos có thể giúp gì?

Digi Dinos là công ty phần mềm có văn phòng tại Việt Nam và Nhật Bản. Trong 8 năm, chúng tôi đã thực hiện hơn 150 dự án, với đội ngũ làm việc được bằng tiếng Nhật.

• Tiếp nhận bảo trì hệ thống có sẵn trên mọi nền tảng phổ biến: Java, Node.js, PHP, Python, Ruby, .NET…
• Xử lý lỗ hổng mới công bố: khi có bản cập nhật như lần này, chúng tôi đánh giá ảnh hưởng và áp dụng bản sửa.
• Nâng cấp toàn diện: phiên bản Java, framework, máy chủ và hệ điều hành.
• Không có tài liệu cũng không sao: kể cả khi nhà cung cấp cũ đã không còn và không ai hiểu nghiệp vụ, chúng tôi tự đọc mã nguồn, dựng lại tài liệu và đề xuất kế hoạch hoàn chỉnh.
• Bảo hành vĩnh viễn: nếu phát hiện lỗi ở phần chúng tôi đã sửa, chúng tôi chịu trách nhiệm sửa, không giới hạn thời gian chừng nào hợp đồng bảo trì còn tiếp tục.

Câu hỏi thường gặp