Hai lỗ hổng bảo mật nghiêm trọng trong PHP, doanh nghiệp cần sớm cập nhật bản vá
Hai lỗ hổng bảo mật trong PHP, cùng được đánh giá ở mức 9,2/10 điểm, có thể cho phép tin tặc thực thi mã từ xa trên máy chủ mà không cần đăng nhập. Các bản vá đã được phát hành, song những hệ thống chưa cập nhật vẫn đối mặt nguy cơ bị tấn công.
Theo thông tin từ Cục An ninh mạng và Hiệp hội An ninh mạng quốc gia, ngày 21/10/2026, nhóm phát triển PHP đã công bố bản phát hành bảo mật cho hai lỗ hổng mang mã CVE-2026-109618 và CVE-2026-109619. Cả hai đều đạt 9,2 điểm theo thang CVSS v4.0, trong đó mức tối đa là 10 điểm.
PHP là ngôn ngữ lập trình được sử dụng rộng rãi trên các website, hệ thống thương mại điện tử, cổng thông tin và nền tảng quản trị nội dung. Nếu bị khai thác, hai lỗ hổng có thể cho phép kẻ tấn công thực thi mã từ xa trên máy chủ web chạy PHP mà không cần đăng nhập.
Các phiên bản đã được vá gồm PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Với các nhánh đã hết hỗ trợ chính thức như PHP 7.4, 8.0 và 8.1, bản sửa được cung cấp dưới dạng mã nguồn; một số bản phân phối Linux và nhà cung cấp dịch vụ hỗ trợ dài hạn cũng đã phát hành gói cập nhật. Đối với PHP 7.3 và các phiên bản cũ hơn, dự án PHP không phát hành bản vá chính thức, dù một số nhà cung cấp dịch vụ hỗ trợ mở rộng có thể cung cấp bản sửa riêng. Các hệ thống sử dụng những phiên bản này cần được nâng cấp lên phiên bản còn được hỗ trợ.
Theo khuyến nghị, các tổ chức, doanh nghiệp tự vận hành máy chủ cần kiểm kê toàn bộ website, ứng dụng và môi trường có sử dụng PHP, bao gồm cả hệ thống thử nghiệm, container và máy chủ ít được chú ý. Việc cập nhật cần được ưu tiên theo phiên bản đang chạy và tình trạng hỗ trợ của từng hệ thống.
Đối với các hệ thống chưa thể nâng cấp ngay, đơn vị quản trị cần xem xét biện pháp bảo vệ bổ sung, cập nhật quy tắc tường lửa ứng dụng web (WAF), giới hạn kích thước và số lượng yêu cầu, đồng thời rà soát cấu hình bộ nhớ PHP. Các thay đổi cần được kiểm thử để tránh ảnh hưởng đến hoạt động bình thường của ứng dụng. Tuy nhiên, những biện pháp này chỉ mang tính tạm thời, không thay thế việc cập nhật bản vá bảo mật.
Doanh nghiệp cũng cần tăng cường giám sát nhật ký truy cập, chú ý các yêu cầu bất thường, lỗi hết bộ nhớ lặp lại, tiến trình PHP dừng đột ngột hoặc sự xuất hiện của tệp lạ trên máy chủ.
Với khách hàng thuê dịch vụ lưu trữ web (hosting), việc liên hệ nhà cung cấp để xác nhận phiên bản PHP và tình trạng cập nhật bản vá là bước cần thiết.
Các lỗ hổng này nằm ở phía máy chủ, không trực tiếp ảnh hưởng đến thiết bị hay trình duyệt của người dùng internet. Người dùng không cần cập nhật PHP trên thiết bị cá nhân. Tuy nhiên, nếu máy chủ cung cấp dịch vụ bị xâm nhập, dữ liệu và tài khoản của họ vẫn có thể bị ảnh hưởng. Người dùng cần duy trì các biện pháp bảo mật cơ bản như bật xác thực hai yếu tố, sử dụng mật khẩu riêng cho từng tài khoản và cảnh giác với đường dẫn lạ.