Ngày đăng: 23/10/2026  |  Chuyên mục: An ninh mạng / Bảo mật máy chủ

Ngày 21/10/2026, dự án PHP phát hành các bản cập nhật khẩn cấp để xử lý hai lỗ hổng nghiêm trọng trong lõi PHP, được gọi chung là PHP2Shell. Với khả năng dẫn tới thực thi mã từ xa (Remote Code Execution – RCE) mà không cần xác thực trong những điều kiện nhất định, đây là cảnh báo quan trọng đối với doanh nghiệp, đơn vị hosting và quản trị viên website.

PHP2Shell là gì?

PHP2Shell là tên gọi chung cho hai lỗ hổng được theo dõi dưới mã CVE-2026-109618 và CVE-2026-109619, cùng được đánh giá 9,2/10 theo CVSS v4.0. Vấn đề nằm ở cách PHP quản lý trạng thái và bộ nhớ trong quá trình tiếp nhận, xử lý và kết thúc một yêu cầu HTTP. Đây là lỗi của PHP Runtime, không phải lỗi riêng của một mã nguồn website hoặc plugin cụ thể.

Theo thông báo kỹ thuật, các đường xử lý request bị ảnh hưởng có thể được tiếp cận trước khi logic của ứng dụng web thực thi. Vì vậy, việc website có cập nhật mã nguồn hay không không thể thay thế cho việc vá PHP.

Con số “70% website” cần hiểu đúng

PHP là ngôn ngữ phía máy chủ được sử dụng rộng rãi trên Internet, đặc biệt trong các hệ thống quản trị nội dung và thương mại điện tử. Một số báo cáo mô tả phạm vi hệ sinh thái PHP ở mức xấp xỉ 70% website. Tuy nhiên, tỷ lệ sử dụng PHP không phải tỷ lệ website tồn tại lỗ hổng, và càng không có nghĩa 70% website đã bị tấn công. Mức độ phơi nhiễm thực tế phụ thuộc vào phiên bản PHP, bản vá do nhà cung cấp phân phối, kiểu triển khai và cấu hình runtime.

Điều gì có thể xảy ra nếu không vá?

Trong kịch bản khai thác thành công, đối tượng tấn công có thể thực thi mã dưới quyền tiến trình PHP, đọc thông tin mà tiến trình được phép truy cập hoặc tiếp tục mở rộng quyền nếu hệ thống có các điểm yếu khác. Các hậu quả tiềm tàng bao gồm:

• Đánh cắp dữ liệu cấu hình, thông tin kết nối cơ sở dữ liệu, khóa API hoặc phiên làm việc.
• Cài mã độc, webshell, sửa nội dung website hoặc duy trì truy cập trái phép.
• Gián đoạn dịch vụ, xóa hoặc mã hóa dữ liệu khi quyền truy cập cho phép.
• Tấn công lan sang website khác trên cùng máy chủ nếu cô lập tài khoản và phân quyền chưa chặt chẽ.

Điểm cần nhấn mạnh: thực thi mã từ xa thường bắt đầu ở quyền của PHP worker, không đồng nghĩa tự động có quyền root. Khả năng chiếm toàn máy chủ còn phụ thuộc cách phân quyền, cô lập ứng dụng và các lỗ hổng bổ sung.

Phiên bản PHP cần cập nhật

Các bản PHP đầu tiên tích hợp bản vá cho cả hai CVE được phát hành ngày 21/10/2026 như sau:

Lưu ý: các gói PHP từ Ubuntu, Red Hat, LiteSpeed hoặc nhà cung cấp dịch vụ có thể áp dụng bản vá backport mà không đổi số phiên bản upstream theo cách thông thường. Quản trị viên cần đối chiếu security advisory và gói thực tế, không chỉ dựa vào kết quả php -v.

Hệ thống nào cần ưu tiên kiểm tra?

Mọi triển khai PHP có thể phục vụ HTTP cần được kiểm kê, bao gồm PHP-FPM với Nginx/Apache, Apache mod_php, php-cgi, LiteSpeed/OpenLiteSpeed, FrankenPHP, môi trường container và các sản phẩm đóng gói kèm PHP. Nhóm website công khai trên Internet, cổng khách hàng, thương mại điện tử và hệ thống chứa dữ liệu nhạy cảm cần được ưu tiên.

Hướng dẫn kiểm tra và triển khai bản vá an toàn

Bước 1 – Kiểm kê các PHP Runtime

Kiểm tra PHP CLI, các dịch vụ PHP-FPM, cấu hình Virtual Host, các bản LSPHP của LiteSpeed hoặc các PHP được aaPanel quản lý. Với Docker/container, phải kiểm tra PHP bên trong image hoặc container, không chỉ phiên bản PHP trên host.

Lệnh tham khảo:  php -v   |   dpkg -l | grep php   |   ps aux | grep php-fpm

Bước 2 – Sao lưu và kiểm tra khả năng tương thích

Sao lưu mã nguồn, database và cấu hình; có snapshot nếu khả dụng. Kiểm tra extension, CMS, plugin và PHP handler của từng website. Không ép nhiều website lên một nhánh PHP mới nếu chưa kiểm thử.

Bước 3 – Cập nhật bản vá theo đúng cách cài đặt

• Ubuntu dùng PHP từ APT: nâng cấp các gói PHP đúng nhánh từ kho đã xác thực, bao gồm các extension liên quan.
• CyberPanel/OpenLiteSpeed: cập nhật các gói lsphp đang được website sử dụng; kiểm tra lại đường dẫn PHP handler của Virtual Host.
• aaPanel: kiểm tra các bản PHP trong /www/server/php/ và dùng cơ chế cập nhật đúng của aaPanel; apt upgrade không nhất thiết cập nhật các bản PHP này.
• Container: cập nhật image nền PHP và triển khai lại container/worker bằng image đã vá.

Bước 4 – Làm mới tiến trình và xác minh qua website

Sau cập nhật, restart hoặc làm mới đúng PHP-FPM/worker theo phương thức triển khai; xác minh website thực tế đã nạp binary mới. Kiểm thử đăng nhập, chức năng database, upload, thanh toán, cron và nhật ký lỗi. Không xóa ngay các bản PHP cũ khi chưa chắc chắn không còn ứng dụng sử dụng.

WAF có đủ để bảo vệ không?

Không. WAF và các quy tắc lọc request có thể giảm bớt một số đường tấn công nhưng không khắc phục lỗi quản lý bộ nhớ trong PHP. Các cấu hình giảm thiểu tạm thời được nhà phát triển đề cập cũng không thay thế bản vá. Với hệ thống chưa thể nâng cấp, cần giảm phơi nhiễm Internet, giám sát chặt chẽ và ưu tiên xây dựng kế hoạch vá khẩn cấp.

Khuyến nghị từ CloudX

Doanh nghiệp nên duy trì bảng kiểm kê phiên bản PHP theo website và máy chủ, lịch vá bảo mật định kỳ, quy trình kiểm thử trước–sau cập nhật, sao lưu có khả năng khôi phục và cơ chế giám sát dấu hiệu xâm nhập. PHP2Shell là lời nhắc rằng an toàn của website không chỉ nằm ở plugin hay ứng dụng: runtime và hạ tầng bên dưới cũng phải được quản lý bản vá nghiêm túc.

CloudX khuyến nghị quản trị viên ưu tiên cập nhật các hệ thống PHP tiếp xúc Internet lên các bản vá được công bố, đồng thời rà soát ứng dụng đang vận hành trên các nhánh PHP hết hỗ trợ.

Nguồn tham khảo

• PHP Project – Security releases ngày 21/10/2026: https://www.php.net/archive/2026.php
• NCSC-NL – Operational information PHP2Shell: https://github.com/NCSC-NL/php2shell
• Red Hat – Security Bulletin RHSB-2026-013: https://access.redhat.com/security/vulnerabilities/RHSB-2026-013
• Elastic Security Labs – Detection coverage PHP2Shell: https://www.elastic.co/security-labs/threat-command/php2shell-php-rce-detection
• Tenable – PHP2Shell FAQ (cập nhật ngày 21/10/2026): https://www.tenable.com/blog/php2shell-cve-2026-109618-cve-2026-109619-frequently-asked-questions-about-critical-php-remote

• • 23/10/2026