Bảo mật hệ thống cũ: bắt đầu từ đâu? Lịch hết hỗ trợ 2026

"Hệ thống của mình đã cũ, liệu còn an toàn không?" Nếu bạn đang tự hỏi như vậy, việc đầu tiên là liệt kê những gì đang chạy và đối chiếu từng thành phần với ngày hết hỗ trợ. Xử lý trước những gì đã hết hạn hoặc sắp hết hạn, bạn sẽ tiến hành an toàn mà không lãng phí.

Bài viết dành cho chủ doanh nghiệp và người quản lý không chuyên IT: nên bắt đầu từ đâu và theo thứ tự nào.

Vì sao hệ thống cũ lại rủi ro?

Một hệ thống chạy trên nhiều lớp chồng lên nhau. Chỉ cần một lớp hết hỗ trợ, cả hệ thống đã gặp rủi ro.

Hệ điều hành máy chủPhần mềm nền

Ngôn ngữ, môi trường chạyJava, .NET…

Framework và thư việnCác khối dựng sẵn

Hệ thống nghiệp vụCông cụ dùng hằng ngày

Khi một trong số đó hết hỗ trợ, dễ xảy ra những chuyện sau:

Các mốc hết hỗ trợ chính năm 2026–2027

Chúng tôi tập trung vào các phần mềm phổ biến ở doanh nghiệp vừa và nhỏ (theo nguồn chính thức; ngày có thể thay đổi).

Ngày của sản phẩm Microsoft (.NET, Windows Server) tính theo giờ Mỹ.

Các hạn chót sắp tới, theo thứ tự:

• 10/11/2026
  .NET 8 và .NET 9 hết hỗ trợ
• 12/1/2027
  Windows Server 2016 hết hỗ trợ
• Cuối tháng 3/2027
  Ruby 3.3 hết hỗ trợ (dự kiến)
• 30/4/2027
  Node.js 22 hết hỗ trợ (dự kiến)

Node.js và Java đều có đợt vá bảo mật lớn trong tháng 10/2026. Xem chi tiết tại bài lỗ hổng Node.js tháng 10/2026 và cảnh báo lỗ hổng Java tháng 10/2026.

Bắt đầu từ đâu: 6 bước

Đây là toàn bộ quy trình. Thay vì đổi mọi thứ cùng lúc, an toàn nhất là bắt đầu từ chỗ rủi ro nhất.

BƯỚC 1–2Nắm rõ1. Liệt kê những gì đang chạy
2. Đối chiếu ngày hết hỗ trợ

BƯỚC 3Quyết định3. Xếp thứ tự ưu tiên

BƯỚC 4–6Hành động4. Gia cố phòng thủ
5. Lên kế hoạch nâng cấp
6. Rà soát định kỳ

1. Liệt kê những gì đang chạy

   Với mỗi hệ thống, ghi lại các mục trong bảng bên dưới. Mục nào chưa rõ thì hỏi bên phát triển hoặc bảo trì.

2. Đối chiếu với ngày hết hỗ trợ

   Ghi thêm ngày hết hỗ trợ bên cạnh từng mục. Có thể tra trong bảng ở trên hoặc trang chính thức của từng hãng.

3. Xếp thứ tự ưu tiên

   Dựa vào việc hệ thống có công khai trên mạng không, đã hết hỗ trợ chưa, có xử lý dữ liệu cá nhân hay thanh toán không (Hình 3).

4. Gia cố phòng thủ ngay

   Áp dụng bản vá có sẵn, ngừng công khai các chức năng không dùng… Bắt đầu từ những việc không tốn chi phí.

5. Lên kế hoạch nâng cấp

   Đưa hệ điều hành, ngôn ngữ, framework lên phiên bản mới theo thứ tự: khảo sát, chuyển đổi trên môi trường kiểm thử, kiểm tra hoạt động, chuyển môi trường thật, theo dõi.

6. Rà soát định kỳ

   Kể cả thành phần còn lâu mới hết hỗ trợ, hãy rà soát danh sách định kỳ để không bị bất ngờ trước hạn chót tiếp theo.

Danh sách nên có các mục sau:

Dùng các tiêu chí sau để xếp ưu tiên:

Cao Xử lý ngay

Công khai trên mạng và đã hết hỗ trợ. Xử lý dữ liệu cá nhân của khách hàng hoặc thanh toán.

Trung bình Lên kế hoạch trong vài tháng

Công khai và sẽ hết hỗ trợ trong vòng một năm. Chỉ dùng nội bộ nhưng đã hết hỗ trợ.

Thấp Rà soát định kỳ

Còn nhiều thời gian trước khi hết hỗ trợ.

Các biện pháp phòng thủ nhanh ở bước 4:

• Áp dụng ngay các bản vá (patch) đang có.
• Ngừng công khai các màn hình, chức năng không dùng và những gì không cần lộ ra ngoài.
• Kiểm tra đã có bản sao lưu và có khôi phục được thật không.
• Rà soát mật khẩu trang quản trị và những người có quyền truy cập.

Để nguyên hay xử lý?

Không có tài liệu, bên phát triển cũ không còn?

Với hệ thống cũ, những nỗi lo sau rất phổ biến:

Không cần bỏ cuộc. Đọc mã nguồn là biết hệ thống làm gì. Trong quá trình đó, danh sách chức năng, danh sách màn hình và luồng dữ liệu có thể được dựng lại thành tài liệu. Để bắt đầu, hãy kiểm tra bạn có những thứ sau:

• Mã nguồn
• Tài khoản quản trị máy chủ và cloud
• Thông tin đăng ký tên miền (địa chỉ website)
• Bản sao lưu cơ sở dữ liệu
• Hợp đồng dịch vụ bên ngoài (gửi email, thanh toán…)

Digi Dinos có thể giúp gì?

Digi Dinos là công ty phần mềm có văn phòng tại Việt Nam và Nhật Bản. Trong 8 năm, chúng tôi đã thực hiện hơn 150 dự án, với đội ngũ làm việc được bằng tiếng Nhật.

• Tiếp nhận bảo trì hệ thống có sẵn trên mọi nền tảng phổ biến: PHP, Java, Node.js, Python, Ruby, .NET…
• Xử lý lỗ hổng mới công bố: khi có điểm yếu mới được công bố, chúng tôi đánh giá ảnh hưởng và áp dụng bản sửa.
• Nâng cấp toàn diện: ngôn ngữ, framework, máy chủ và hệ điều hành.
• Không có tài liệu cũng không sao: kể cả khi nhà cung cấp cũ đã không còn và không ai hiểu nghiệp vụ, chúng tôi tự đọc mã nguồn, dựng lại tài liệu và đề xuất kế hoạch hoàn chỉnh.
• Bảo hành vĩnh viễn: nếu phát hiện lỗi ở phần chúng tôi đã sửa, chúng tôi chịu trách nhiệm sửa, không giới hạn thời gian chừng nào hợp đồng bảo trì còn tiếp tục.

Câu hỏi thường gặp