Ngày 22/10, theo thông tin từ Cục An ninh mạng và Hiệp hội An ninh mạng quốc gia, hai lỗ hổng bảo mật mang mã CVE-2026-109618 và CVE-2026-109619 trong PHP đã được nhóm phát triển công bố bản vá ngày 21/10/2026.
Cả hai lỗ hổng đều được chấm 9,2/10 theo thang đánh giá CVSS v4.0. Nếu bị khai thác thành công, kẻ tấn công có thể thực thi mã từ xa trên máy chủ web sử dụng PHP mà không cần đăng nhập, tiềm ẩn nguy cơ ảnh hưởng đến hoạt động của website và hệ thống liên quan.
Các lỗ hổng được phát hiện bởi hãng bảo mật Wiz cùng một số nhóm nghiên cứu, với sự hỗ trợ của các công cụ trí tuệ nhân tạo (AI). Thông tin được chuyển cho nhóm phát triển PHP trước khi công bố, tạo điều kiện để xây dựng và phát hành bản sửa lỗi.
Các phiên bản PHP đã được vá gồm 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Đối với các nhánh PHP 7.4, 8.0 và 8.1 đã hết thời gian hỗ trợ chính thức, bản sửa lỗi được cung cấp dưới dạng mã nguồn; một số nhà phân phối Linux và đơn vị cung cấp dịch vụ hỗ trợ dài hạn cũng đã phát hành gói cập nhật tương ứng. Các phiên bản PHP 7.3 trở về trước không có bản vá theo thông tin được cung cấp, do đó cần được nâng cấp.
Không phải mọi website sử dụng PHP đều có nguy cơ như nhau
PHP là ngôn ngữ lập trình được sử dụng rộng rãi để xây dựng website, hệ thống thương mại điện tử, cổng thông tin và các nền tảng quản trị nội dung. Tuy nhiên, mức độ rủi ro đối với từng hệ thống phụ thuộc vào phiên bản đang sử dụng, cấu hình triển khai và các lớp bảo vệ đi kèm.
Việc khai thác các lỗ hổng đòi hỏi kẻ tấn công gửi những yêu cầu được thiết kế đặc biệt và kiểm soát chính xác trạng thái bộ nhớ. Các hệ thống có tường lửa ứng dụng web (WAF) được cấu hình phù hợp có thể hạn chế một số yêu cầu bất thường, qua đó giảm nguy cơ bị khai thác. Dù vậy, WAF không thể thay thế việc cập nhật bản vá và không bảo đảm loại bỏ hoàn toàn rủi ro.
Một số nhà cung cấp dịch vụ lưu trữ web và hạ tầng đám mây đã chủ động cập nhật bản vá cho máy chủ, đồng thời bổ sung quy tắc WAF nhằm hạn chế các phương thức tấn công đã biết. Khách hàng sử dụng dịch vụ hosting nên liên hệ nhà cung cấp để xác nhận phiên bản PHP đang vận hành và tình trạng cập nhật bảo mật.
Doanh nghiệp cần rà soát và cập nhật sớm
Đối với các tổ chức, doanh nghiệp tự quản lý máy chủ, việc xử lý cần được thực hiện có hệ thống, bắt đầu từ xác định phạm vi ảnh hưởng đến cập nhật và giám sát sau khi khắc phục.
Trước hết, cần lập danh sách toàn bộ máy chủ, website, ứng dụng và môi trường có sử dụng PHP, bao gồm cả môi trường thử nghiệm, container và các hệ thống ít được kiểm tra thường xuyên. Việc xác định chính xác phiên bản PHP đang chạy giúp doanh nghiệp đánh giá phạm vi ảnh hưởng và ưu tiên xử lý.
Tiếp đó, các đơn vị cần cập nhật lên phiên bản đã được vá phù hợp với nhánh PHP đang sử dụng. Với hệ thống chạy phiên bản đã hết thời gian hỗ trợ, doanh nghiệp nên xây dựng kế hoạch chuyển sang nhánh còn được hỗ trợ. Trong thời gian chờ nâng cấp, cần áp dụng các biện pháp bảo vệ bổ sung và đánh giá rủi ro cụ thể.
Doanh nghiệp cũng cần rà soát cấu hình WAF, giới hạn kích thước và số lượng yêu cầu tại máy chủ web hoặc proxy, kiểm tra các giới hạn bộ nhớ của PHP. Những thay đổi về cấu hình cần được kiểm thử trước khi triển khai rộng rãi để tránh gây gián đoạn hoạt động của ứng dụng.
Song song với đó, cần tăng cường giám sát nhật ký truy cập và hoạt động máy chủ, chú ý các dấu hiệu bất thường như yêu cầu có dung lượng lớn, tần suất truy cập tăng đột biến, lỗi hết bộ nhớ lặp lại, tiến trình PHP dừng đột ngột hoặc xuất hiện tệp không rõ nguồn gốc.
Người dùng internet không cần ngừng sử dụng dịch vụ
Hai lỗ hổng được đề cập nằm ở phía máy chủ chạy PHP, không trực tiếp nằm trên thiết bị cá nhân hay trình duyệt của người dùng. Vì vậy, người dùng internet thông thường không cần ngừng truy cập website, tìm kiếm thông tin, mua sắm hoặc thực hiện các giao dịch trực tuyến chỉ vì thông tin về hai lỗ hổng này được công bố.
Người dùng internet thông thường không cần ngừng truy cập website, tìm kiếm thông tin, mua sắm hoặc thực hiện các giao dịch trực tuyến chỉ vì thông tin về hai lỗ hổng này được công bố.
Tuy nhiên, người dùng vẫn cần duy trì các biện pháp bảo mật cơ bản như bật xác thực hai yếu tố cho những tài khoản quan trọng, sử dụng mật khẩu mạnh và riêng biệt cho từng dịch vụ, đồng thời cảnh giác với email, tin nhắn hoặc đường dẫn lạ lợi dụng thông tin về lỗ hổng để lừa đảo, đánh cắp dữ liệu cá nhân và mã xác thực.
Việc phát hiện và công bố lỗ hổng là một phần của quá trình bảo đảm an toàn trong hệ sinh thái công nghệ. Khi bản vá đã được phát hành, ưu tiên đối với các đơn vị vận hành hệ thống là xác định đúng phạm vi ảnh hưởng, khắc phục theo mức độ rủi ro và duy trì giám sát. Người dùng cá nhân có thể tiếp tục sử dụng các dịch vụ trực tuyến bình thường, đồng thời giữ thói quen an toàn trên môi trường số.
