Lỗ hổng PHP nghiêm trọng: chủ website cần làm gì?

Các bản vá PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35 được phát hành ngày 21/10/2026 để xử lý hai lỗ hổng cho phép thực thi mã từ xa. Lỗ hổng PHP này ảnh hưởng tới mọi bản cài PHP phục vụ web, bao gồm các website WordPress chạy trên hosting thuê. Tối 22/10, Cục An ninh mạng đã ra khuyến cáo chính thức cho doanh nghiệp.

Ảnh minh hoạ: XoaiTool

PHP2Shell là gì và vì sao được xếp mức nghiêm trọng

PHP2Shell là tên gọi chung của hai mã lỗi CVE-2026-109618 và CVE-2026-109619. Lỗi thứ nhất liên quan tới hỏng bộ nhớ khi máy chủ hết bộ nhớ. Lỗi thứ hai bắt nguồn từ trạng thái toàn cục cũ không được dọn sạch. Cả hai đều có thể dẫn tới thực thi mã từ xa, tức kẻ tấn công chạy lệnh trên máy chủ mà không cần quyền quản trị.

Dự án PHP xếp cảnh báo ở mức "Critical". Cả hai lỗi được chấm 9,2 điểm theo thang CVSS v4.0, mức điểm cũng được Cục An ninh mạng nêu lại. CVSS là thang đo mức độ nghiêm trọng của lỗ hổng, tối đa 10 điểm.

Phạm vi ảnh hưởng gồm mọi cách chạy PHP phục vụ web: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP và LiteSpeed. Rủi ro cao nhất thuộc về mod_php, nơi một yêu cầu không cần đăng nhập có thể kích hoạt tấn công trước khi mã website kịp chạy. Theo PHP, đã có bản khai thác minh hoạ cho trường hợp này. Tính đến 23/10/2026, chưa có vụ xâm nhập diện rộng nào được xác nhận, nhưng nguy cơ được đánh giá là cao.

Dự án PHP khẳng định các biện pháp giảm thiểu tạm thời là chưa đủ: "updating is the only safe choice" (cập nhật là lựa chọn an toàn duy nhất).

Bản vá theo từng nhánh PHP

Mỗi nhánh PHP có một bản vá riêng. Các nhánh cũ không còn được dự án PHP cập nhật chính thức, nên người quản lý website cần đối chiếu kỹ.

Một điểm dễ gây nhầm: các bản phân phối Linux có thể vá lỗi nhưng giữ nguyên số phiên bản cũ. Ví dụ, trên Ubuntu 24.04, PHP có thể vẫn hiển thị bản 8.3.6 dù đã được vá. Vì vậy, chỉ nhìn số phiên bản là chưa đủ để kết luận website an toàn.

AI đã góp phần tìm ra lỗi như thế nào

Hai lỗi được các nhóm nghiên cứu bảo mật, trong đó có Wiz và Calif, tìm ra với sự hỗ trợ của AI. VietNamNet, dẫn lại WSJ và The New York Times, cho biết nhà nghiên cứu của Calif, công ty bảo mật có trụ sở tại Mỹ do một kỹ sư người Việt điều hành, đã dùng mô hình của OpenAI để tìm ra lỗi trong vài ngày. Ngày 21/10, OpenAI cũng đăng bài về việc công bố phối hợp các lỗ hổng nghiêm trọng.

Đây là con dao hai lưỡi. Công cụ trí tuệ nhân tạo giúp phe phòng thủ rà soát mã nguồn nhanh hơn, nhưng phe tấn công cũng có thể dùng AI để khai thác lỗi nhanh hơn sau khi bản vá được công bố. Khoảng thời gian an toàn để cập nhật vì thế ngày càng ngắn.

Cách kiểm tra website có bị ảnh hưởng bởi lỗ hổng PHP

Với website WordPress, người quản trị đăng nhập trang quản trị, chọn Công cụ (Tools), sau đó chọn Tình trạng trang (Site Health), mở thẻ Thông tin (Info) và xem mục Máy chủ (Server). Dòng phiên bản PHP cho biết website đang chạy nhánh nào để đối chiếu với bảng ở trên.

Cập nhật WordPress, theme hay plugin không sửa được lỗ hổng PHP này, vì lỗi nằm ở lõi PHP trên máy chủ. Theo WP Cerber, plugin bảo mật cũng không chặn được yêu cầu độc hại xảy ra trước khi WordPress tải.

Website dùng hosting thuê thường được cập nhật PHP trong bảng điều khiển cPanel hoặc Plesk mà không tốn phí. Máy chủ ảo (VPS) tự quản thì quản trị viên phải tự cài bản vá và khởi động lại PHP-FPM hoặc Apache.

Mẫu tin nhắn gửi nhà cung cấp hosting

Nhiều nhà cung cấp đã vá hạ tầng dùng chung, nhưng Cục An ninh mạng khuyến nghị khách hàng "cần liên hệ đơn vị cung cấp để xác nhận trạng thái an toàn". Người phụ trách website có thể gửi nội dung sau:

Xin chào bộ phận kỹ thuật, website [tên miền] đang dùng gói hosting [tên gói]. Đề nghị xác nhận giúp: (1) Phiên bản PHP đang chạy website đã được vá lỗi CVE-2026-109618 và CVE-2026-109619 chưa? (2) Tiến trình PHP đã được khởi động lại sau khi vá chưa? (3) Nếu website đang dùng PHP 8.1 trở xuống, lộ trình nâng cấp được đề xuất là gì? Xin cảm ơn.

Người không quen viết yêu cầu kỹ thuật có thể dùng ChatGPT để chỉnh câu chữ cho phù hợp, kết hợp các nguyên tắc trong hướng dẫn cách viết prompt. Không nên dán mật khẩu hay thông tin đăng nhập hosting vào chatbot.

4 bước khuyến cáo của Cục An ninh mạng

Cục An ninh mạng và Hiệp hội An ninh mạng quốc gia khuyến cáo các đơn vị tự vận hành máy chủ thực hiện 4 bước:

1. Rà soát toàn bộ máy chủ, website và ứng dụng đang chạy PHP cùng phiên bản đang dùng.
2. Cập nhật bản vá mới nhất.
3. Bật hoặc cập nhật luật tường lửa ứng dụng web (WAF), giới hạn kích thước và số lượng yêu cầu.
4. Theo dõi nhật ký truy cập để phát hiện dấu hiệu bất thường.

Website đang chạy PHP 8.2 nên lên kế hoạch nâng lên 8.3 trở lên, vì nhánh 8.2 hết hỗ trợ bảo mật vào cuối năm 2026. Duy trì thói quen cập nhật phần mềm là một phần của kỹ năng số cơ bản với người phụ trách website.

Người dùng cá nhân chỉ lướt web, mua hàng không bị ảnh hưởng trực tiếp. Tuy vậy, Cục An ninh mạng khuyên bật xác thực hai lớp và cảnh giác với tin nhắn, email giả danh thông báo bảo mật.

Hỏi nhanh

Đọc thêm trên XoaiTool: Kỹ năng số · Tin tức AI · Tất cả tool miễn phí

Cập nhật lần cuối: 23/10/2026

Nguồn tham khảo

1. PHP – Security Advisory ngày 21/10/2026
2. VietNamNet – Cục An ninh mạng khuyến cáo doanh nghiệp rà soát lỗ hổng PHP
3. Tuổi Trẻ – Cảnh báo hai lỗ hổng PHP nghiêm trọng
4. VietNamNet – Công ty của kỹ sư người Việt phát hiện lỗ hổng
5. WP Cerber – Critical PHP vulnerabilities: what WordPress site owners need to know
6. GoDaddy – Important PHP security update
7. OpenAI – Coordinated disclosure of critical vulnerabilities