PHP2Shell: Chưa cập nhật bản vá? Cần thực hiện ngay các bước sau để giảm thiểu rủi ro

Công nghệ > An ninh mạng PHP2Shell: Các biện pháp giảm thiểu rủi ro tức thì khi chưa kịp cập nhật bản vá Dự án PHP cung cấp hướng dẫn nhằm ngăn chặn các nguy cơ tấn công thực thi mã từ xa (RCE) trong một số cấu hình giới hạn. Charlie Osborne Cộng tác viên Charlie Osborne là nhà báo chuyên về an ninh mạng và nhiếp ảnh gia, làm việc cho ZDNET và CNET từ London.… Đọc toàn bộ tiểu sử Charlie Osborne Cộng tác viên Đọc toàn bộ tiểu sử Ngày 23/10/2026, 11:09 ET Thời gian đọc: 3 phút KIRILL KUDRYAVTSEV / Cộng tác viên / AFP qua Getty Images Nội dung chính theo ZDNET Việc công bố các lỗ hổng nghiêm trọng trong PHP dẫn tới yêu cầu cập nhật bản vá khẩn cấp. Tội phạm mạng có khả năng cao sẽ vũ khí hóa các lỗ hổng này. Các tổ chức cần hành động ngay để ngăn chặn nguy cơ bị khai thác. Một lỗ hổng trong ngôn ngữ lập trình PHP đã gây ra làn sóng khẩn trương cập nhật bản vá trên toàn cầu đối với các trang web bị ảnh hưởng. Hiện tại, Dự án PHP (The PHP Project) đã ban hành thêm các hướng dẫn nhằm ngăn chặn “một hướng tấn công thực thi mã từ xa (RCE) hiếm gặp” trong các vụ tấn công PHP2Shell. Tin nổi bật Pin thẻ định vị có thể phát nổ hay không? Thử nghiệm thực tế và hình ảnh ghi nhận 23/10/2026 Thử nghiệm nhân bản giọng nói bằng công cụ AI miễn phí để thực hiện cuộc gọi lừa đảo người thân 23/10/2026 Trải nghiệm kính thực tế tăng cường Snap Specs mới: Sản phẩm chỉ dành cho người dùng tiên phong 23/10/2026 Xem thêm: Trình duyệt Chrome bổ sung tính năng cảnh báo các trang web đáng ngờ Lỗ hổng PHP2Shell là gì? PHP2Shell là tên gọi chung của cặp lỗ hổng bảo mật trong PHP, gồm CVE-2026-109618 và CVE-2026-109619. Cả hai đều bị đánh giá ở mức độ nghiêm trọng đặc biệt với điểm số 9,2 và ảnh hưởng đến hầu hết các phiên bản PHP. Dự án PHP đã phát hành các bản vá để khắc phục sự cố vào ngày thứ Tư. Tính chất đặc biệt nghiêm trọng của các lỗ hổng này đã thúc đẩy một chiến dịch cập nhật bản vá trên phạm vi toàn cầu trong thời gian sớm nhất. Nội dung khác từ ZDNET Nguyên nhân của sự khẩn cấp này bắt nguồn từ việc PHP (từ viết tắt đệ quy của Hypertext Preprocessor) là ngôn ngữ lập trình đa dụng, đóng vai trò nền tảng cho nhiều trang web và dịch vụ trực tuyến hoạt động hằng ngày, từ các hệ thống vận hành trên WordPress đến các nền tảng thương mại điện tử. Theo đội ngũ bảo mật của Wiz, đơn vị đã phát hiện các lỗ hổng này với sự hỗ trợ của AI, PHP hiện diện trên 70% tổng số trang web trên toàn thế giới. Yêu cầu vá lỗi khẩn cấp trước nguy cơ bị tấn công nhanh chóng Đại diện Wiz cho biết: “Các lỗ hổng này bao gồm việc lộ lọt bộ nhớ và thực thi mã từ xa không cần xác thực trực tiếp trên PHP, hoàn toàn độc lập với ứng dụng đang vận hành phía trên, khiến mọi trang web bị ảnh hưởng đều đối mặt với rủi ro tức thì”. Lợi dụng các lỗ hổng này nhằm vào hệ thống chưa được vá lỗi, đối tượng tấn công có thể thực thi mã độc trên máy chủ bị ảnh hưởng hoặc đọc bộ nhớ tiến trình nhạy cảm, từ đó đánh cắp dữ liệu và xâm nhập vào mạng nội bộ của tổ chức. Xem thêm: AI trở thành “công cụ nhân bội sức mạnh” cho các đối tượng tấn công mạng trình độ thấp Wiz cũng đưa ra một nhận định đáng chú ý: Dù AI hỗ trợ quá trình phát hiện các lỗ hổng, công nghệ này cũng có thể bị sử dụng để tiến hành khai thác. Theo các nhà nghiên cứu, việc xây dựng một chuỗi tấn công và chứng minh tính khả thi của việc khai thác các lỗi này “đòi hỏi một quy trình gồm các bước đặc biệt phức tạp”, “tiệm cận giới hạn năng lực thực tế của các chuyên gia nghiên cứu”. Tuy nhiên, các mô hình AI tiên tiến “đã hạ thấp đáng kể rào cản đó, biến một khiếm khuyết tồn tại từ lâu thành một phương thức khai thác hoàn chỉnh”. Theo Amazon Threat Intelligence, các nỗ lực khai thác lỗ hổng P2P2Shell đã diễn ra từ 4 ngày trước khi lỗ hổng này được công bố rộng rãi. Các mã khai thác thử nghiệm (Proof-of-Concept) bắt đầu xuất hiện chỉ vài giờ sau đó. Một đối tượng đe dọa liên quan đến chuỗi tấn công P2P2Shell đang tìm cách triển khai mạng máy tính ma (botnet) dạng Mirai. Ông Matthew Prince, Tổng Giám đốc Cloudflare, cho biết mạng lưới của công ty hiện ghi nhận "hàng triệu" nỗ lực khai thác. Hướng dẫn bổ sung Trong khuyến cáo phát hành ngày 23/10, PHP Project thúc giục các tổ chức thực hiện biện pháp: thiết lập session.upload_progress.enabled=0 cho đến đợt vá lỗi định kỳ tiếp theo của PHP. Dù biện pháp giảm thiểu này đã được liệt kê trong bản phát hành ngày 21/10, việc nghiên cứu sâu hơn về PHP2Shell cho thấy việc áp dụng cấu hình này có thể ngăn chặn một phương thức thực thi mã từ xa (RCE) khác. Xem thêm: Các dịch vụ VPN tốt nhất: Chuyên gia thử nghiệm Do lỗ hổng RCE này (hiện được định danh là CVE-2026-115560) đòi hỏi cấu hình bất thường và thiết lập mã ứng dụng đặc thù, phương thức tấn công này được đánh giá là "ít có khả năng xảy ra". Vì vậy, biện pháp giảm thiểu tạm thời là đủ cho đến khi PHP Project xử lý triệt để trong chu kỳ phát hành định kỳ. PHP Project nêu rõ trong khuyến cáo: “Ứng dụng phải thiết lập session.serialize_handler thành php_binary hoặc php_serialize trong cấu hình, sau đó chuyển sang php trong quá trình thực thi bằng hàm ini_set() trước khi gọi session_start(). Tính năng theo dõi tiến trình tải lên của phiên (session upload progress) cũng phải đang được bật. Các ứng dụng không bao giờ thay đổi trình xử lý tuần tự hóa (serialize handler) trong quá trình thực thi có thể tiếp tục duy trì tính năng này”. Khuyến nghị hành động đối với các tổ chức PHP Project hối thúc người dùng hành động ngay lập tức bằng cách cập nhật lên các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35. Trong trường hợp chưa thể cập nhật bản vá ngay, các tổ chức có thể áp dụng các biện pháp giảm thiểu được nêu trong khuyến cáo. Cơ quan An ninh Quốc gia Mỹ (NSA) khuyến nghị cần “nâng cao cảnh giác” đối với PHP2Shell trong những tuần tới, đồng thời nhấn mạnh cần ưu tiên mọi bản vá do nhà cung cấp phát hành liên quan đến lỗ hổng này. Các doanh nghiệp cũng nên cân nhắc áp dụng các bước giảm thiểu phù hợp, chẳng hạn như tăng cường ghi nhật ký hệ thống và thay thế các gói PHP đã hết vòng đời hỗ trợ. Xem thêm: 7 cài đặt quyền riêng tư cần thay đổi ngay trên điện thoại mới Cơ quan này nhấn mạnh thêm: “Tất cả người dùng cần lập tức rà soát, kiểm kê các dịch vụ phần cứng và phần mềm đang phụ thuộc vào các phiên bản PHP dính lỗ hổng, trong phạm vi khả thi. Sự cảnh giác trong việc áp dụng các bản vá liên quan đến những hệ thống này là điều tối quan trọng”. Trả lời ZDNET, ông Matthew Weier O’Phinney, Giám đốc Quản lý sản phẩm cấp cao tại Perforce Zend và OpenLogic, cho biết rằng