PHP phát hiện lỗ hổng thứ ba PHP2Shell, không vá khẩn cấp
"A third remote code execution (RCE) vulnerability (CVE-2026-115560) has been identified in PHP, related to the PHP2Shell series of bugs. The PHP Foundation deems this vulnerability unlikely to occur in practical use and will address it in a future regular release, not an emergency fix. Mitigation involves setting `session.upload_progress.enabled=0`."
Lỗ hổng RCE (Remote Code Execution) có thể cho phép kẻ tấn công thực thi mã độc trên hệ thống, nhưng khả năng xảy ra thấp do yêu cầu cấu hình đặc biệt.
Các trang web PHP có thể bị ảnh hưởng nếu cấu hình không đúng. Việc tắt `session.upload_progress.enabled` là biện pháp giảm thiểu rủi ro đơn giản.
PHP Foundation vừa xác định một lỗ hổng thực thi mã từ xa (RCE) thứ ba (CVE-2026-115560) liên quan đến loạt lỗ hổng PHP2Shell. Tuy nhiên, họ không phát hành bản vá khẩn cấp.
Việc này có thể ảnh hưởng đến các trang web PHP tại Việt Nam, đặc biệt là những trang sử dụng cấu hình đặc biệt. Mặc dù nguy cơ thấp, việc nắm bắt thông tin về lỗ hổng là cần thiết để đánh giá rủi ro.
Theo Elizabeth Barron, giám đốc điều hành của PHP Foundation, CVE-2026-115560 đòi hỏi một tổ hợp cấu hình và mã PHP rất hiếm gặp, khó xảy ra trong thực tế. Người dùng có thể giảm thiểu rủi ro bằng cách đặt session.upload_progress.enabled=0.
Lỗ hổng này yêu cầu ứng dụng phải đặt session.serialize_handler thành php_binary hoặc php_serialize rồi chuyển sang php bằng ini_set() trước khi gọi session_start(), đồng thời bật tính năng tải tiến trình phiên.
Trước đó, hai lỗ hổng CVE-2026-109618 và CVE-2026-109619 (gọi chung là PHP2Shell) đã gây lo ngại vì ảnh hưởng đến khoảng 70% website sử dụng PHP. Dù có báo cáo về các nỗ lực khai thác, hiện chưa có bằng chứng về các cuộc tấn công thành công sau khi vá lỗi. Mandiant vẫn cảnh báo về khả năng khai thác hạn chế và sự tồn tại của các PoC (Proof of Concept) có thể thực thi mã từ xa trên một số cấu hình.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng thứ ba này ít nghiêm trọng hơn hai lỗ hổng PHP2Shell trước đó, nhưng các doanh nghiệp Việt Nam vẫn nên kiểm tra cấu hình PHP của họ để đảm bảo session.upload_progress.enabled được tắt. Điều đáng chú ý là việc vá lỗi PHP2Shell ban đầu vẫn là ưu tiên hàng đầu.