PHP cảnh báo lỗ hổng RCE mới, hai ngày sau khi vá PHP2Shell
"PHP disclosed a new potential remote code execution (RCE) vulnerability, CVE-2026-115560, affecting applications with a specific, uncommon configuration. The issue arises when session serialization is altered during runtime while session upload progress is enabled. PHP recommends disabling session upload progress as a mitigation until a routine release addresses the flaw."
Lỗ hổng RCE tiềm ẩn có thể cho phép kẻ tấn công thực thi mã từ xa trên máy chủ web. Mặc dù được đánh giá là ít khả năng xảy ra, nhưng vẫn cần được xem xét.
Việc khai thác thành công lỗ hổng có thể dẫn đến mất dữ liệu, gián đoạn dịch vụ và thiệt hại uy tín cho doanh nghiệp. Chi phí khắc phục và phục hồi cũng cần được tính đến.
PHP vừa cảnh báo về một lỗ hổng thực thi mã từ xa (RCE) tiềm ẩn, CVE-2026-115560, ảnh hưởng đến các ứng dụng có cấu hình không phổ biến. Lỗ hổng này xảy ra khi việc xử lý session serialization bị thay đổi trong thời gian chạy, đồng thời tính năng tải tiến trình (upload progress) của session được kích hoạt.
Đối với các kỹ sư và doanh nghiệp Việt Nam sử dụng PHP, việc hiểu rõ các lỗ hổng bảo mật và cách giảm thiểu rủi ro là rất quan trọng. Lỗ hổng này, dù được đánh giá là ít khả năng xảy ra, vẫn cần được xem xét, đặc biệt nếu ứng dụng của bạn sử dụng các cấu hình session phức tạp.
PHP khuyến nghị tắt tính năng tải tiến trình session (session.upload_progress.enabled=0) để giảm thiểu rủi ro cho đến khi bản phát hành chính thức có bản vá. Đây là cùng một biện pháp được khuyến nghị trong thông báo vá lỗ hổng PHP2Shell (CVE-2026-109618 và CVE-2026-109619) vào ngày 21 tháng 10.
Lỗ hổng mới chỉ ảnh hưởng đến các ứng dụng đáp ứng đồng thời ba điều kiện: cấu hình session.serialize_handler được đặt thành php_binary hoặc php_serialize, sau đó thay đổi thành php bằng ini_set() trong quá trình chạy, và thay đổi này diễn ra trước khi gọi session_start().
Hiện tại, chưa có báo cáo về việc khai thác CVE-2026-115560. Các cuộc tấn công gần đây tập trung vào hai lỗ hổng PHP2Shell trước đó. Cloudflare ghi nhận số lượng thử tấn công tăng từ hàng chục nghìn lên hàng triệu chỉ trong vòng 45 phút sau khi thông tin về các lỗ hổng này được công bố.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc PHP xử lý lỗ hổng này thông qua chu kỳ phát hành thông thường thay vì vá khẩn cấp cho thấy mức độ nghiêm trọng được đánh giá là thấp. Tuy nhiên, các doanh nghiệp Việt Nam nên kiểm tra cấu hình session của ứng dụng PHP để đảm bảo không đáp ứng các điều kiện gây ra lỗ hổng. Việc tắt session.upload_progress.enabled là một biện pháp phòng ngừa đơn giản và hiệu quả.