PHP2Shell: Cách bảo vệ trước bản vá RCE PHP lúc 14:00 UTC và điều gì không hiệu quả
"Two critical PHP flaws, dubbed PHP2Shell, are scheduled to be patched at 14:00 UTC on October 21, 2026. A previously suggested workaround involving `session.upload_progress.enabled=0` is insufficient and not a guaranteed fix. Mitigation strategies include isolating PHP instances, restricting network access, and preparing for immediate patching upon release."
Hai lỗ hổng PHP2Shell được đánh giá 9.2/10 có thể cho phép thực thi mã từ xa (RCE), gây nguy hiểm nghiêm trọng cho hệ thống.
Các doanh nghiệp sử dụng PHP có thể gặp gián đoạn dịch vụ, mất dữ liệu và thiệt hại uy tín nếu không vá lỗ hổng kịp thời. Chi phí khắc phục sự cố có thể rất lớn.
Cloudflare vừa cảnh báo về hai lỗ hổng nghiêm trọng trong PHP, có tên PHP2Shell, sẽ được vá vào lúc 14:00 UTC ngày 21 tháng 10 năm 2026. Một cách khắc phục được đề xuất trước đó, liên quan đến session.upload_progress.enabled=0, không đủ và không đảm bảo an toàn. Các biện pháp giảm thiểu rủi ro bao gồm cô lập các phiên bản PHP, hạn chế quyền truy cập mạng và chuẩn bị sẵn sàng để vá ngay khi bản vá được phát hành.
Hiện tại chưa có báo cáo về các cuộc tấn công khai thác lỗ hổng này. PHP chưa công bố phiên bản bị ảnh hưởng, bộ phận PHP liên quan hoặc liệu việc thay đổi cài đặt có làm giảm rủi ro hay không. Chi tiết đầy đủ và các phiên bản đã được sửa lỗi sẽ được công bố cùng với bản phát hành bản vá.
Cài đặt được đề xuất không phải là giải pháp bảo vệ
Một cài đặt được lan truyền trên mạng xã hội và các blog bảo mật là session.upload_progress.enabled=0. Cài đặt này tắt tính năng Session Upload Progress, một tính năng mặc định của PHP ghi lại tiến trình tải tệp. GMO Flatt Security, một công ty bảo mật Nhật Bản, ban đầu đề xuất cài đặt này vào ngày 21 tháng 10, nhưng sau đó đã rút lại tuyên bố này vào lúc 05:00 UTC cùng ngày. Họ cho biết cài đặt này không phải là giải pháp hoàn chỉnh và các cuộc tấn công có thể vượt qua nó.
Gina Peter Banyard, một nhà phát triển lõi PHP, cũng đồng ý với quan điểm này: “Điều duy nhất tôi có thể nói là biện pháp khắc phục duy nhất là vá/nâng cấp PHP.”
Nếu bạn đã cài đặt
Không ai yêu cầu bạn hoàn tác thay đổi này. Tuy nhiên, đừng coi nó là một biện pháp bảo vệ. Hướng dẫn của PHP cũng khuyên tắt tính năng này nếu ứng dụng không sử dụng thanh tiến trình tải lên, vì tên tệp và trường được lưu trữ “không được xác thực và có thể chứa mã PHP”.
Nếu bạn có thể vá lúc 14:00 UTC
Chuẩn bị ngay bây giờ. Hãy xác nhận các bước cập nhật, kiểm tra sau cập nhật và chuẩn bị sẵn sàng cho việc khởi động lại khẩn cấp. Sau khi bản vá được phát hành, hãy cập nhật runtime phục vụ các yêu cầu web (PHP-FPM, mod_php hoặc CGI).
PHP chỉ phát hành bản vá cho bốn nhánh được hỗ trợ, từ 8.2 đến 8.5. Các phiên bản chính xác được vá và phạm vi ảnh hưởng của lỗ hổng sẽ được công bố cùng với bản phát hành.
Nếu bạn không thể vá ngay lập tức hoặc đang sử dụng phiên bản không được hỗ trợ
Nếu không thể cập nhật ngay lập tức, CERT-EU khuyên các tổ chức nên “cân nhắc cô lập các ứng dụng hướng ra internet khỏi mạng công cộng cho đến khi có bản vá”. Hoặc, hạn chế quyền truy cập: sử dụng VPN, danh sách trắng máy khách hoặc xác thực ở lớp biên.
Câu hỏi thường gặp
PHP2Shell là gì?
PHP2Shell là tên gọi của hai lỗ hổng bảo mật nghiêm trọng trong PHP, được đánh giá 9.2/10 về mức độ nguy hiểm. Bản vá sẽ được phát hành vào lúc 14:00 UTC ngày 21 tháng 10 năm 2026.
Cách khắc phục tạm thời được đề xuất có hiệu quả không?
Không. Việc tắt tính năng Session Upload Progress (session.upload_progress.enabled=0) không phải là giải pháp hoàn chỉnh và có thể bị vượt qua. Các nhà phát triển PHP khuyến nghị chỉ nên vá lỗi bằng bản cập nhật chính thức.
Các phiên bản PHP nào bị ảnh hưởng?
PHP chưa công bố danh sách các phiên bản bị ảnh hưởng. Thông tin này sẽ được công bố cùng với bản phát hành bản vá.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc chuẩn bị sẵn sàng cho bản vá PHP2Shell là rất quan trọng, đặc biệt đối với các doanh nghiệp Việt Nam sử dụng PHP trong các ứng dụng web. Các doanh nghiệp nên ưu tiên cô lập các phiên bản PHP đang chạy và hạn chế quyền truy cập mạng để giảm thiểu rủi ro. Điều đáng chú ý là việc chỉ dựa vào cài đặt session.upload_progress.enabled=0 là không đủ để bảo vệ hệ thống.