Vaultwarden là máy chủ tự vận hành tương thích với các ứng dụng Bitwarden. Nếu nhóm bạn đang chạy nó để chia sẻ thông tin đăng nhập website, quyền truy cập bảng điều khiển hosting hoặc khóa API, bản phát hành này liên quan đến bạn. Ngày 1 tháng 11 năm 2026 lúc 22:16:50 UTC (rạng sáng 2 tháng 11 giờ Việt Nam), dự án đã phát hành bản 1.37.5, bao gồm hai bản vá bảo mật. Toàn bộ thông tin dưới đây được kiểm tra tính đến ngày 3 tháng 11 năm 2026.
Ai cần quan tâm
Chỉ những ai đang vận hành một phiên bản Vaultwarden tự triển khai. Dùng dịch vụ do Bitwarden lưu trữ không có nghĩa bạn là người vận hành Vaultwarden, nên bản phát hành này không áp dụng trong trường hợp đó. Nếu một nhà cung cấp vận hành Vaultwarden thay bạn, hãy hỏi họ phiên bản đang triển khai và kế hoạch cập nhật.
Những gì đã được sửa
Ghi chú phát hành liệt kê hai khuyến cáo:
- GHSA-x9cq-f669-vrr4, liên quan đến biểu tượng website (website icons), dự án xếp mức trung bình (5.3).
- GHSA-9pjj-f9g5-3x4c, liên quan đến truy cập khẩn cấp (emergency access), mức trung bình (4.3).
Truy cập khẩn cấp là tính năng khôi phục được ủy quyền, cho phép một người liên hệ tin cậy yêu cầu quyền truy cập vào tài khoản. Cả hai khuyến cáo vẫn ở chế độ riêng tư trong khi chờ cấp và công bố CVE, nên phạm vi phiên bản bị ảnh hưởng chính xác, điều kiện tiên quyết, tác động kỹ thuật và tình trạng khai thác chưa được công khai. Điều dự án nói rõ là họ đặc biệt khuyến nghị cập nhật càng sớm càng tốt. Vì một máy chủ quản lý thông tin đăng nhập thường đứng sau nhiều hoạt động vận hành website khác, mức trung bình vẫn xứng đáng một đợt cập nhật được lên lịch sớm thay vì một ghi chú “để sau”.
Đọc các thay đổi cấu hình trước khi kéo image
1.37.5 cũng siết chặt hơn một số trường cấu hình, và một thiết lập bị từ chối có thể khiến máy chủ không khởi động được. Trong số các thay đổi nêu ở ghi chú phát hành: một số giá trị giới hạn tần suất (rate limit) và cơ sở dữ liệu phải từ 1 trở lên, số kết nối cơ sở dữ liệu tối thiểu không được vượt quá tối đa, và các thiết lập lịch bị ảnh hưởng phải để trống hoặc là biểu thức cron hợp lệ. Hãy đối chiếu tệp môi trường hoặc thiết lập của bạn với ghi chú phát hành trước, để một bản cập nhật bảo mật không biến thành sự cố gián đoạn dịch vụ.
Một lưu ý tương thích từ bản phát hành: nếu bạn dùng web vault 2026.7.1 trở lên, việc cập nhật máy chủ lên 1.37.5 là bắt buộc để chuyển đổi các phương thức đăng nhập hai bước, và nếu bạn dùng web vault 2026.9.0 trở lên, việc này là bắt buộc để thực hiện tiếp quản truy cập khẩn cấp được ủy quyền (bước khôi phục nơi người liên hệ tin cậy nhận quyền truy cập). Web vault đi kèm là v2026.10.1.
Danh sách kiểm tra thực tế
- Xác nhận Vaultwarden có thực sự đang được dùng hay không, và ghi lại image cùng phiên bản đang chạy ngay lúc này, không phải phiên bản bạn nghĩ đã triển khai.
- Sao lưu cơ sở dữ liệu và dữ liệu lưu trữ lâu dài (cấu hình, khóa, tệp đính kèm) theo cách triển khai hiện tại của bạn, và kiểm tra rằng bản sao lưu có thể khôi phục được. Hướng dẫn sao lưu của chúng tôi đề cập đến kiểm thử khôi phục.
- Rà soát cấu hình của bạn theo các thay đổi kiểm tra nêu trên.
- Ghi lại lộ trình quay lui (rollback) và mọi lưu ý tương thích phía client trước khi thay đổi bất cứ điều gì.
- Thay thế container đang chạy bằng image 1.37.5 đã được rà soát theo quy trình cập nhật quen thuộc của bạn. Hướng dẫn cập nhật của dự án mô tả cách giữ nguyên dữ liệu đã gắn kết (mounted) trong khi tạo lại container.
- Kiểm tra khởi động, đăng nhập, đồng bộ và đăng nhập hai yếu tố bằng tài khoản của chính bạn. Nếu bạn dựa vào truy cập khẩn cấp, chỉ kiểm thử giữa các tài khoản bạn được phép sử dụng. Không bao giờ chạy thử khôi phục trên tài khoản của người khác.
- Tiếp tục theo dõi nhật ký và cảnh báo sau đó. Bài Giám sát vượt ra ngoài uptime giải thích cần theo dõi những gì.
Hãy điều chỉnh các bước kiểm tra này cho phù hợp với cách triển khai của bạn; không phải mọi bước kiểm thử đều áp dụng cho mọi hệ thống.
Điều gì còn chưa rõ
Vì các khuyến cáo vẫn ở chế độ riêng tư, việc nâng cấp áp dụng các bản vá dự án đã công bố nhưng không phải là một lời xác nhận “an toàn hoàn toàn”, và việc chưa có báo cáo khai thác không có nghĩa là không xảy ra. Hãy theo dõi cả hai khuyến cáo cho đến khi được công bố. Nếu bạn mở yêu cầu hỗ trợ với bất kỳ ai, chỉ chia sẻ số phiên bản và trích đoạn nhật ký, không bao giờ chia sẻ bí mật cấu hình hay khóa.