Lỗ hổng này cho phép kẻ tấn công chiếm toàn quyền kiểm soát máy chủ từ xa mà không cần bất kỳ thông tin đăng nhập nào.

Điểm nguy hiểm chết người của lỗ hổng “php2shell”

Bộ đôi lỗ hổng vừa được gán mã định danh CVE-2026-109618 và CVE-2026-109619 với điểm số nguy hiểm CVSS 9.2/10 (Critical):

• Không cần tài khoản đăng nhập (Unauthenticated): Tin tặc không cần mật khẩu admin hay quyền truy cập nội bộ. Chỉ cần gửi một yêu cầu (HTTP request) được thiết kế đặc biệt đến bất kỳ trang web nào đang chạy PHP, chúng có thể kích hoạt lỗi bộ nhớ và thực thi mã tùy ý.
• Nằm ngay ở tầng nhân runtime (Core PHP Engine): Lỗ hổng không nằm ở plugin, giao diện hay CMS như các đợt rò rỉ thông thường, mà tấn công thẳng vào cơ chế xử lý bộ nhớ của chính bộ thông dịch PHP (ảnh hưởng đến cả PHP-FPM, Apache mod_php, FrankenPHP, LiteSpeed).
• Hậu quả trực tiếp: Toàn bộ mã nguồn, cơ sở dữ liệu khách hàng, cổng thanh toán và file cấu hình trên server có thể bị đánh cắp hoặc bị cài mã độc đào coin, ransomware tống tiền.

Các phiên bản PHP bị ảnh hưởng

Đội ngũ phát triển PHP đã phát hành bản vá khẩn cấp. Mọi hệ thống chạy các phiên bản thấp hơn mốc an toàn dưới đây đều đang đối mặt với nguy cơ bị xâm nhập:

• PHP 8.5: Cần nâng cấp lên 8.5.12 hoặc mới hơn.
• PHP 8.4: Cần nâng cấp lên 8.4.27 hoặc mới hơn.
• PHP 8.3: Cần nâng cấp lên 8.3.36 hoặc mới hơn.
• PHP 8.2: Cần nâng cấp lên 8.2.35 hoặc mới hơn.
• Các phiên bản cũ hơn (PHP 8.1, 8.0, 7.x): Đã hết hạn hỗ trợ (EOL) và không có bản vá chính thức. Đây là nhóm có rủi ro cao nhất và cần nâng cấp phiên bản PHP lập tức.

Hành động khẩn cấp: Bạn cần làm gì ngay bây giờ?

Trong vận hành hạ tầng online của doanh nghiệp, sự cố bảo mật server không phải là chuyện “để mai tính”. Hacker đã bắt đầu triển khai các botnet tự động rà quét toàn bộ internet.

Hãy thực hiện ngay 1 trong 2 việc sau tùy theo mô hình website của bạn:

Trường hợp 1: Bạn hoặc kỹ sư nội bộ tự quản trị VPS, Cloud Server

1. Nâng cấp gói PHP: Chạy lệnh cập nhật package quản lý (apt update && apt upgrade hoặc yum/dnf update) để đưa PHP lên phiên bản mới nhất tương ứng.
2. Khởi động lại PHP workers (BẮT BUỘC): Việc tải bản vá là chưa đủ nếu tiến trình worker cũ vẫn đang chạy trong RAM. Bạn bắt buộc phải restart php-fpm hoặc web server (Apache, Nginx, LiteSpeed) để dọn sạch bộ nhớ tiến trình bị rò rỉ.

Trường hợp 2: Bạn dùng Shared Hosting, Cloud cPanel hoặc thuê đối tác làm web

Đa phần chủ doanh nghiệp và marketer không trực tiếp can thiệp vào máy chủ gốc khi thiết kế website. Lúc này, việc của bạn là liên hệ ngay với nhà cung cấp hosting (hosting provider) hoặc đơn vị kỹ thuật.

Hãy copy ngay đoạn tin nhắn mẫu dưới đây để gửi ticket hoặc chat hỗ trợ khẩn cấp:

“Chào đội ngũ kỹ thuật, hiện tại PHP vừa công bố lỗ hổng bảo mật nghiêm trọng Unauthenticated RCE (CVE-2026-109618, CVE-2026-109619). Nhờ bên mình kiểm tra giúp máy chủ chứa website của tôi đã được cập nhật lên phiên bản PHP an toàn mới nhất (8.2.35, 8.3.36, 8.4.27, 8.5.12+) và restart service PHP-FPM chưa? Website đang vận hành kinh doanh nên tôi cần xác nhận hoàn tất bản vá này sớm nhất trong ngày. Cảm ơn các bạn!”

Đừng chần chừ. Một tin nhắn gửi đi ngay lúc này có thể cứu toàn bộ dữ liệu và uy tín thương hiệu của bạn trước các đợt tấn công tự động đang diễn ra trên mạng internet.