PHP vá hai lỗ hổng RCE nghiêm trọng (CVSS 9.2)
"PHP is releasing an out-of-cycle security update to address two critical remote code execution (RCE) vulnerabilities (CVE-2026-109618 and CVE-2026-109619) affecting PHP versions 8.2 through 8.5. The vulnerabilities have a CVSS score of 9.2. No exploits have been publicly reported, but patching is recommended, especially for internet-facing systems."
Hai lỗ hổng RCE mới được phát hiện trong PHP có thể cho phép kẻ tấn công thực thi mã từ xa trên hệ thống bị ảnh hưởng. Mức độ nghiêm trọng cao (CVSS 9.2) đòi hỏi hành động khẩn cấp.
Các doanh nghiệp sử dụng PHP có thể gặp gián đoạn dịch vụ hoặc mất dữ liệu nếu hệ thống của họ bị khai thác. Việc vá lỗi kịp thời là rất quan trọng để giảm thiểu rủi ro.
PHP sẽ phát hành bản cập nhật bảo mật ngoài chu kỳ vào 14:00 UTC ngày 21 tháng 10 để khắc phục hai lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng (CVE-2026-109618 và CVE-2026-109619) ảnh hưởng đến các phiên bản PHP 8.2 đến 8.5. Các lỗ hổng này có điểm CVSS 9.2.
Hiện tại chưa có thông tin về việc khai thác các lỗ hổng này, nhưng PHP khuyến nghị vá lỗi, đặc biệt cho các hệ thống hướng ra internet.
Hôm 20 tháng 10, một bài đăng trên Hacker News cho biết hai lỗ hổng RCE trong PHP, với điểm CVSS 10.0, ảnh hưởng đến các phiên bản từ PHP 5 trở lên sẽ được công bố vào ngày 22 tháng 10. Người đăng bài không cung cấp bằng chứng, chỉ nói “nguồn: tin tôi đi”.
watchTowr sau đó xác nhận thông tin rò rỉ trên X, cho biết hai lỗ hổng đang bị giữ kín và lẽ ra phải đợi đến ngày 22 tháng 10. PHP đã công bố thông báo sớm hơn, vào lúc 19:33 UTC ngày 20 tháng 10, với thời gian phát hành dự kiến là ngày 21 tháng 10. PHP cho biết có thể phát hành sớm hơn nếu thông tin chi tiết về lỗ hổng bị công khai hoặc phát hiện dấu hiệu khai thác trong thực tế.
Thông tin rò rỉ bao gồm điểm số, ngày công bố và hai mã CVE, nhưng không mô tả cách thức hoạt động của các lỗ hổng. Điểm CVSS của PHP là 9.2 (phiên bản 4.0).
Mã CVE được sử dụng là CVE-2026-109618 và CVE-2026-109619, nhưng PHP chưa đề cập đến chúng trong thông báo. Phạm vi ảnh hưởng cũng chưa được xác nhận: watchTowr cho biết “chưa được xác nhận bởi thông báo chính thức từ nhà cung cấp” và không có yêu cầu cấu hình cụ thể nào được mô tả. PHP sẽ công bố chi tiết, phiên bản bị ảnh hưởng và phiên bản đã sửa lỗi cùng với bản phát hành.
Các nhà nghiên cứu đang gọi cặp lỗ hổng này là php2shell. PHP chỉ phát hành bản vá cho bốn nhánh được hỗ trợ: 8.2, 8.3, 8.4 và 8.5. Các phiên bản cũ hơn, bao gồm 8.1, 8.0, 7.x và 5.x, đã hết vòng đời hỗ trợ và sẽ không nhận được bản vá.
Công ty bảo mật Mallory ước tính có khoảng 884.000 máy chủ hướng ra internet báo cáo phiên bản PHP 8.1 trở xuống cho công cụ tìm kiếm Shodan vào ngày 20 tháng 10, chiếm 59% trong tổng số khoảng 1.5 triệu máy chủ báo cáo phiên bản PHP.
PHP chưa cung cấp giải pháp tạm thời. Trước khi bản phát hành có sẵn, hãy kiểm kê tất cả các cài đặt PHP, bao gồm cả các phiên bản được tích hợp trong các thiết bị, phần mềm Windows và bảng điều khiển như cPanel và Plesk. Chuẩn bị nâng cấp lúc 14:00 UTC, ưu tiên các hệ thống hướng ra internet và kiểm tra bản phân phối Linux và nhà cung cấp dịch vụ lưu trữ của bạn để tìm các bản vá được chuyển đổi.
Câu hỏi thường gặp
CVE-2026-109618 và CVE-2026-109619 là gì?
CVE-2026-109618 và CVE-2026-109619 là hai mã định danh cho các lỗ hổng thực thi mã từ xa (RCE) trong PHP, ảnh hưởng đến các phiên bản 8.2 đến 8.5. Các lỗ hổng này có điểm CVSS 9.2.
Các phiên bản PHP nào bị ảnh hưởng?
Các phiên bản PHP 8.2 đến 8.5 bị ảnh hưởng bởi các lỗ hổng này. Các phiên bản cũ hơn, bao gồm 8.1, 8.0, 7.x và 5.x, đã hết vòng đời hỗ trợ và sẽ không nhận được bản vá.
Khi nào bản vá sẽ được phát hành?
PHP sẽ phát hành bản cập nhật bảo mật vào 14:00 UTC ngày 21 tháng 10. Các nhà phát triển nên chuẩn bị nâng cấp hệ thống của họ ngay sau khi bản vá được phát hành.
Góc nhìn của Orange Cloud
Theo chúng tôi, các doanh nghiệp Việt Nam sử dụng PHP cần kiểm tra phiên bản PHP đang chạy và lên kế hoạch nâng cấp ngay khi bản vá có sẵn. Đặc biệt, các hệ thống hướng ra internet cần được ưu tiên. Điều đáng chú ý là các phiên bản PHP đã hết vòng đời hỗ trợ sẽ không nhận được bản vá, do đó việc nâng cấp lên phiên bản được hỗ trợ là cần thiết để đảm bảo an toàn.