Lỗ hổng PHP nghiêm trọng vừa bị phát hiện, đe dọa trực tiếp đến độ an toàn của hàng triệu hệ thống máy chủ. Hai mã lỗi nguy hiểm gồm CVE-2026-109618 và CVE-2026-109619 cho phép kẻ tấn công thực thi mã từ xa (RCE) ở cấp độ nhân máy chủ mà không cần xác thực tài khoản.
Do ngôn ngữ lập trình PHP hiện đang vận hành khoảng 70% số lượng website trên thế giới, sự cố này đã buộc nhiều cơ quan chính phủ và doanh nghiệp lớn phải tạm thời ngắt kết nối internet để ngăn chặn nguy cơ xâm nhập. Cùng Techall phân tích toàn bộ diễn biến, mức độ tác động và hướng dẫn xử lý sự cố khẩn cấp.
Toàn cảnh lỗ hổng PHP – AI phát hiện điểm yếu hơn một thập kỷ
Ngày 21/10/2026, nhóm phát triển PHP công bố bản cập nhật bảo mật nhằm khắc phục hai lỗ hổng PHP nghiêm trọng mang mã CVE-2026-109618 và CVE-2026-109619, cùng đạt điểm CVSS 9,2/10. Nếu bị khai thác thành công, các lỗi này có thể cho phép kẻ tấn công thực thi mã từ xa trên máy chủ mà không cần xác thực.
Hai lỗ hổng có cơ chế khác nhau:
- CVE-2026-109618: Liên quan đến lỗi xử lý bộ nhớ khi PHP gặp tình trạng thiếu bộ nhớ, có thể khiến quá trình dọn dẹp dữ liệu hoạt động không an toàn.
- CVE-2026-109619: Liên quan đến việc tham chiếu trạng thái nội bộ sau khi vùng bộ nhớ tương ứng đã được giải phóng, dẫn đến nguy cơ lỗi use-after-free.
Điểm đáng chú ý là AI đã hỗ trợ các nhà nghiên cứu phát hiện những điểm yếu tồn tại lâu năm trong mã nguồn của ngôn ngữ lập trình PHP. Tuy nhiên, AI cũng có thể hỗ trợ tin tặc phân tích bản vá để tìm cách khai thác, khiến nguy cơ tấn công tăng lên sau khi thông tin kỹ thuật được công khai.
Với mức độ phổ biến của PHP trong các website doanh nghiệp, trang tin tức và nền tảng thương mại điện tử, sự cố này có thể ảnh hưởng đến nhiều hệ thống.
Phạm vi ảnh hưởng và các hệ thống đứng trước nguy cơ tấn công
Mức độ ảnh hưởng của lỗ hổng PHP phụ thuộc vào từng phiên bản, cách triển khai máy chủ và trạng thái cập nhật của từng hệ thống. Do đó, quản trị viên không nên chỉ kiểm tra mã nguồn website mà cần rà soát cả môi trường thực thi PHP phía máy chủ.
Các phiên bản PHP dính lỗi từ 7.2 đến 8.5
Các lỗ hổng PHP bảo mật khiến nhiều phiên bản cần được rà soát, bao gồm cả những nhánh cũ như PHP 7.2 và nhánh mới như PHP 8.5. Một số bản cập nhật khắc phục đã được phát hành như sau:
| Phiên bản PHP | Bản vá bảo mật |
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Với các nhánh PHP cũ không còn được hỗ trợ chính thức, quản trị viên nên liên hệ nhà cung cấp để xác nhận bản vá backport hoặc lên kế hoạch nâng cấp. Trước khi cập nhật, cần đối chiếu thông báo bảo mật chính thức và kiểm tra tính tương thích để đảm bảo hệ thống được khắc phục đúng cách.
Các nền tảng mã nguồn mở và hệ thống VPS
Đa số các quản trị viên website hiện nay vận hành hệ thống dựa trên các nền tảng mã nguồn mở phổ biến chạy trên nền tảng ngôn ngữ lập trình PHP. Sự cố này gây ảnh hưởng trực tiếp đến:
- Hệ thống CMS phổ biến: WordPress (Chiếm hơn 43% số lượng website toàn cầu), Joomla, Drupal và Magento.
- Các Framework phát triển: Laravel, Symfony, CodeIgniter dùng cho các ứng dụng web tùy biến.
- Môi trường máy chủ: Các máy chủ ảo VPS, máy chủ dùng riêng (Dedicated Server) hoặc các cụm Cloud Server tự quản trị.
Điểm đáng lưu ý là các plugin bảo mật hoặc tính năng tự động cập nhật của các CMS như WordPress chỉ có thể can thiệp ở tầng ứng dụng web. Rào cản này không thể tự động vá các lỗi thuộc về môi trường thực thi phía dưới máy chủ, do đó các chủ website phụ thuộc vào shared hosting hoặc tự quản trị VPS bắt buộc phải kiểm tra môi trường PHP của mình.
Hướng dẫn ứng phó khẩn cấp lỗ hổng PHP và giải pháp giảm tải tạm thời
Trước đợt quét khai thác quy mô lớn từ các nhóm tin tặc, các nhà quản trị hệ thống cần nhanh chóng triển khai quy trình ứng phó theo hai bước chính nhằm đảm bảo an toàn tuyệt đối cho dữ liệu trước nguy cơ tấn công từ lỗ hổng PHP.
Nâng cấp bản vá chính thức trên hệ thống
Phương án xử lý triệt để và an toàn nhất để giải quyết dứt điểm lỗ hổng PHP là đưa môi trường thực thi lên bản vá mới nhất do tổ chức phát triển PHP phát hành. Đội ngũ kỹ thuật cần thực hiện các thao tác sau:
- Rà soát phiên bản: Kiểm tra chính xác phiên bản đang chạy bằng câu lệnh php -v trên giao diện dòng lệnh của máy chủ.
- Cập nhật gói phần mềm: Sử dụng các trình quản lý gói của hệ điều hành (như apt, yum hoặc dnf) để tải về phiên bản vá lỗi chính thức.
- Áp dụng bản vá Backport: Đối với các máy chủ buộc phải duy trì các dải phiên bản cũ hơn như PHP 7.2 để tương thích với mã nguồn ứng dụng cũ, nhà quản trị cần biên dịch hoặc cài đặt các bản vá backport chuyên biệt do đơn vị cung cấp hạ tầng hỗ trợ.
- Khởi động lại dịch vụ: Thực hiện khởi động lại dịch vụ xử lý PHP (như php-fpm) và máy chủ web (Nginx, Apache) để bản cập nhật có hiệu lực hoàn toàn.
Cấu hình quy tắc tường lửa WAF tạm thời
Nếu chưa thể nâng cấp ngay do lo ngại gián đoạn dịch vụ hay bất đồng tương thích, nhà quản trị bắt buộc phải triển khai lớp phòng thủ tạm thời ở cấp mạng để ngăn chặn các cuộc tấn công khai thác lỗ hổng PHP.
Hãy kích hoạt ngay bộ quy tắc Managed Rules trên tường lửa ứng dụng web (WAF) như Cloudflare, AWS WAF hoặc ModSecurity. Lớp rào chắn này sẽ phân tích lưu lượng đầu vào, tự động phát hiện và chặn đứng các chuỗi truy vấn độc hại trước khi chúng tiếp cận tầng xử lý của ngôn ngữ lập trình PHP.
Đồng thời, bạn nên chủ động tắt các tính năng nguy hiểm không sử dụng trong tệp php.ini hoặc tạm ngắt kết nối internet nếu hệ thống xuất hiện dấu hiệu dò quét dồn dập.
Quản trị viên website cần lưu ý gì sau sự cố lỗ hổng PHP?
Sau khi cài đặt bản vá, công việc chưa kết thúc. Nếu máy chủ đã bị xâm nhập trước đó, cập nhật PHP không tự động loại bỏ các tệp độc hại, tài khoản trái phép hoặc cơ chế duy trì quyền truy cập mà kẻ tấn công có thể đã cài đặt.
Quản trị viên nên thực hiện thêm các thao tác sau:
- Kiểm tra dấu hiệu xâm nhập: Rà soát nhật ký truy cập, lỗi PHP, tài khoản mới, tiến trình bất thường và các thay đổi tệp không rõ nguồn gốc.
- Bảo vệ thông tin xác thực: Nếu phát hiện dấu hiệu bị xâm nhập, cân nhắc thay đổi mật khẩu quản trị, khóa API và thông tin truy cập có liên quan sau khi kiểm soát được hệ thống.
- Kiểm tra bản sao lưu: Đảm bảo bản sao lưu sạch, có thể khôi phục và không chứa mã độc hoặc cấu hình đã bị thay đổi.
- Phân định trách nhiệm cập nhật: Chủ website sử dụng hosting chia sẻ nên yêu cầu nhà cung cấp xác nhận phiên bản PHP đang chạy đã được vá. Việc cập nhật WordPress hoặc plugin không đồng nghĩa môi trường PHP cũng đã được cập nhật.
- Lập kế hoạch nâng cấp dài hạn: Tránh duy trì các nhánh PHP hết vòng đời hỗ trợ nếu không có phương án bảo mật thay thế đáng tin cậy.
Đối với doanh nghiệp có nhiều website, nên xây dựng danh sách tài sản công nghệ, quy trình cập nhật định kỳ và cơ chế cảnh báo khi xuất hiện lỗ hổng PHP nghiêm trọng.
Xem thêm: Microsoft Sa Thải Nhân Sự Tại Việt Nam – Tin Tức Chính Thức & Quy Mô Cắt Giảm
Kết luận
Đợt bùng phát lỗ hổng PHP lần này là lời cảnh báo đắt giá về mức độ an toàn của hạ tầng mạng internet toàn cầu. Việc chủ động rà soát, nâng cấp hệ thống từ các bản PHP 7.2 lên tới PHP 8.5 và thiết lập lớp rào chắn tường lửa vững chắc là yêu cầu cấp thiết đối với mọi nhà quản trị website ngay lúc này. Bạn có thể tiếp tục cập nhật những phân tích chuyên sâu và giải pháp an ninh mạng mới nhất tại Techall.