CISA cảnh báo khai thác hai lỗ hổng PHP2Shell cho phép thực thi mã từ xa
"CISA has confirmed active exploitation of two remote code execution vulnerabilities (CVE-2026-109618 and CVE-2026-109619) in PHP versions 8.2.35, 8.3.36, 8.4.27, and 8.5.12. These flaws allow unauthenticated attackers to execute arbitrary code. Updates are available, and federal agencies have a deadline of October 29, 2026, to apply them."
Hai lỗ hổng RCE trong PHP cho phép thực thi mã từ xa mà không cần xác thực, tạo điều kiện cho các cuộc tấn công nghiêm trọng.
Việc khai thác thành công các lỗ hổng này có thể dẫn đến mất dữ liệu, gián đoạn dịch vụ và thiệt hại uy tín cho các doanh nghiệp sử dụng PHP.
CISA xác nhận việc khai thác tích cực hai lỗ hổng thực thi mã từ xa (CVE-2026-109618 và CVE-2026-109619) trong các phiên bản PHP 8.2.35, 8.3.36, 8.4.27 và 8.5.12. Những lỗ hổng này cho phép kẻ tấn công không xác thực thực thi mã tùy ý. Các bản cập nhật đã có sẵn, và các cơ quan liên bang có thời hạn đến ngày 29 tháng 10 năm 2026 để áp dụng chúng.
PHP là ngôn ngữ kịch bản phía máy chủ, được sử dụng trong khoảng 70% các trang web trên internet. Với các doanh nghiệp Việt Nam sử dụng PHP, việc vá lỗi này là cần thiết để ngăn chặn tấn công. Theo ước tính của Censys, hơn 32,51 triệu dịch vụ PHP vẫn đang chạy phiên bản bị ảnh hưởng.
Cả hai lỗ hổng đều được đánh giá 9.2 trên thang điểm CVSS. CVE-2026-109618 là lỗ hổng tràn bộ nhớ, còn CVE-2026-109619 là lỗ hổng trạng thái yêu cầu nội bộ cũ. Adel Karimi từ Perplexity xác nhận đã thực hiện thành công việc thực thi mã từ xa trên các hệ thống honeypot vào ngày 24 tháng 10 năm 2026. Anh ấy cho biết: "Đây là RCE đã được xác nhận với khả năng tiết lộ bộ nhớ khả dụng, không chỉ là sự cố dẫn đến một tiến trình đáng ngờ."
Các bản sửa lỗi đã được phát hành trong các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35 vào ngày 21 tháng 10 năm 2026. Ngoài ra, PHP Foundation cũng phát hành các bản dựng Windows 8.5.12-1, 8.4.27-1, 8.3.36-1 và 8.2.35-1 để khắc phục CVE-2026-111497, một lỗ hổng ghi ngoài giới hạn trong thư viện giải mã Brotli. Lỗ hổng này, còn được gọi là Broccoli2Shell, HTTP2Shell và Node2Shell, ảnh hưởng đến các phiên bản Brotli 1.0.3 đến 1.0.9, 1.1.0 và 1.2.0.
Câu hỏi thường gặp
CVE-2026-109618 và CVE-2026-109619 là gì?
Đây là hai lỗ hổng thực thi mã từ xa trong PHP, cho phép kẻ tấn công thực thi mã tùy ý trên hệ thống bị ảnh hưởng. Cả hai đều được đánh giá 9.2 trên thang điểm CVSS.
Phiên bản PHP nào bị ảnh hưởng?
Các phiên bản PHP 8.2.35, 8.3.36, 8.4.27 và 8.5.12 đều bị ảnh hưởng bởi các lỗ hổng này. Cần cập nhật lên phiên bản mới nhất để khắc phục.
Thời hạn để vá lỗ hổng là khi nào?
Các cơ quan liên bang có thời hạn đến ngày 29 tháng 10 năm 2026 để áp dụng các bản sửa lỗi. Tuy nhiên, các tổ chức khác nên vá lỗi càng sớm càng tốt.
Góc nhìn của Orange Cloud
Theo chúng tôi, các doanh nghiệp Việt Nam sử dụng PHP cần ưu tiên cập nhật lên phiên bản mới nhất để giảm thiểu rủi ro. Điều đáng chú ý là lỗ hổng này có thể bị khai thác ngay cả khi không cần xác thực, làm tăng mức độ nghiêm trọng. Các nhà phát triển nên kiểm tra kỹ các ứng dụng sử dụng cURL và đảm bảo tính năng tự động giải nén HTTP response bị tắt nếu không cần thiết.