PHP phát hành bản vá lỗi nghiêm trọng, khuyến cáo ngắt kết nối nếu chưa cập nhật
"PHP developers released emergency updates (8.5.12, 8.4.27, 8.3.36, and 8.2.35) to address two critical remote code execution vulnerabilities (CVE-2026-109618 and CVE-2026-109619). Exploits are already being observed in the wild, and organizations are advised to patch immediately or take applications offline. Several government and privacy-focused organizations preemptively took services offline as a precaution."
Hai lỗ hổng thực thi mã từ xa trong PHP cho phép kẻ tấn công chiếm quyền kiểm soát máy chủ. Các cuộc tấn công đã được ghi nhận ngoài thực tế, làm tăng mức độ rủi ro.
Các doanh nghiệp sử dụng WordPress, Drupal, Joomla hoặc Magento có thể bị gián đoạn dịch vụ hoặc mất dữ liệu. Việc khắc phục sự cố có thể tốn kém và gây tổn hại đến uy tín.
Các nhà phát triển PHP vừa phát hành các bản cập nhật khẩn cấp (8.5.12, 8.4.27, 8.3.36 và 8.2.35) để khắc phục hai lỗ hổng thực thi mã từ xa (CVE-2026-109618 và CVE-2026-109619). Các cuộc tấn công đã được ghi nhận ngoài thực tế, và các tổ chức nên vá lỗi ngay lập tức hoặc ngắt kết nối ứng dụng.
Đây là vấn đề quan trọng với các doanh nghiệp Việt Nam sử dụng WordPress, Drupal, Joomla hoặc Magento, vì PHP là nền tảng của các hệ thống này. Việc cập nhật ngay lập tức sẽ giảm thiểu rủi ro bị tấn công.
Các bản vá này ảnh hưởng đến mọi cài đặt PHP phục vụ yêu cầu web, bao gồm cả các triển khai sử dụng PHP-FPM, Apache's mod_php, php-cgi, FrankenPHP và LiteSpeed. Nhà phát triển cho rằng mod_php có rủi ro cao nhất, với một khai thác đã được chứng minh có thể kích hoạt tấn công trước khi bất kỳ mã ứng dụng nào chạy.
Jake Knott, trưởng bộ phận tình báo mối đe dọa tại watchTowr, cho biết họ đã quan sát thấy các cuộc khai thác các lỗ hổng PHP mới nhất đang diễn ra. CERT-EU cũng đưa ra cảnh báo, đánh giá mức độ nghiêm trọng của cả hai lỗ hổng là 9.2 trên thang điểm CVSS.
Một số dịch vụ chính phủ Phần Lan và các trang web của quốc hội, cơ quan an ninh mạng và cơ quan bảo vệ dữ liệu Hà Lan đã tạm thời ngừng hoạt động để phòng ngừa. Tổ chức phi lợi nhuận noyb cũng tạm thời gỡ trang web của mình xuống. Huntress lưu ý rằng PHP hỗ trợ nhiều phần mềm, khiến việc xác định các cài đặt dễ bị tấn công trở nên phức tạp.
Câu hỏi thường gặp
CVE-2026-109618 và CVE-2026-109619 là gì?
Đây là hai mã định danh lỗ hổng bảo mật cho các lỗi thực thi mã từ xa trong PHP. Kẻ tấn công có thể khai thác các lỗ hổng này để chạy mã độc trên máy chủ.
Các phiên bản PHP nào bị ảnh hưởng?
Các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35 đều bị ảnh hưởng. Các phiên bản cũ hơn cũng có thể dễ bị tấn công.
Nếu không thể vá lỗi ngay lập tức thì sao?
CERT-EU khuyến nghị cô lập các ứng dụng dễ bị tấn công khỏi mạng công cộng cho đến khi có bản vá.
Góc nhìn của Orange Cloud
Theo chúng tôi, các doanh nghiệp Việt Nam sử dụng các nền tảng web phổ biến như WordPress cần ưu tiên cập nhật PHP lên phiên bản mới nhất. Điều đáng chú ý là các cuộc tấn công đã diễn ra ngoài thực tế, cho thấy mức độ nghiêm trọng cao của vấn đề. Các tổ chức chưa thể vá lỗi ngay lập tức nên cân nhắc cô lập ứng dụng khỏi mạng công cộng.