Nội Dung Chính

Cảnh báo khẩn cấp: PHP phát hành bản vá gấp cho 2 lỗ hổng Critical mức điểm 9.2, nguy cơ bị chiếm quyền điều khiển server

Cộng đồng an ninh mạng toàn cầu đang rúng động trước thông tin nhóm phát triển PHP vừa phải phát hành các bản cập nhật bảo mật khẩn cấp nhằm khắc phục hai lỗ hổng cực kỳ nghiêm trọng (Critical) trong trình thông dịch PHP.

Các lỗ hổng này có mức điểm đánh giá rủi ro CVSS lên tới 9.2/10, cho phép kẻ tấn công chưa xác thực (unauthenticated) thực thi mã từ xa (RCE) trên hệ thống máy chủ mục tiêu.

1. Tổng quan về hai lỗ hổng bảo mật mới

Theo các tổ chức ứng cứu sự cố máy tính quốc tế (như CERT-EU), hai lỗ hổng này mang mã định danh:

CVE-2026-109618: Lỗi hỏng bộ nhớ (memory corruption) xảy ra trong quá trình xử lý vượt quá giới hạn bộ nhớ (OOM – Out of Memory). Khi một request vượt quá memory_limit, PHP có thể bị ngắt quãng khi dữ liệu nội bộ chưa được khởi tạo hoàn toàn (ví dụ như khi đang phân tích cú pháp dữ liệu tải lên – file upload). Quá trình dọn dẹp sau đó có thể hiểu nhầm dữ liệu không hợp lệ thành hợp lệ, dẫn đến việc giải phóng nhầm vùng nhớ hoặc tạo cơ hội cho kẻ tấn công chèn mã độc.
CVE-2026-109619: Lỗi trạng thái toàn cục cũ/tồn đọng (stale global state). Trạng thái nội bộ của một request có thể vẫn tồn tại sau khi bộ nhớ của nó đã được giải phóng (thường xảy ra sau một lỗi nghiêm trọng – fatal error). Request tiếp theo được xử lý bởi cùng một tiến trình worker có thể tận dụng trạng thái cũ này trước khi nó được reset, tạo đường dẫn để thực thi mã độc.

Đáng chú ý, một request đơn lẻ không cần xác thực có thể kích hoạt cuộc tấn công này ngay cả trước khi mã nguồn ứng dụng kịp chạy. Mọi mô hình triển khai phục vụ web request đều có nguy cơ, bao gồm PHP-FPM, Apache với mod_php, php-cgi, FrankenPHP và LiteSpeed (trong đó mod_php được đánh giá có rủi ro cao nhất).

2. Cột mốc mới: Lỗ hổng bảo mật được phát hiện nhờ AI

Một chi tiết đáng chú ý và đang thu hút sự quan tâm lớn của giới công nghệ trong vụ việc lần này chính là vai trò của Trí tuệ nhân tạo (AI).

Hai lỗ hổng này được phát hiện với sự hỗ trợ từ các mô hình AI/LLM thế hệ mới trong quá trình rà soát mã nguồn và kiểm thử độ bền hệ thống. Sự kiện này đánh dấu một cột mốc quan trọng: AI đã đủ khả năng phát hiện ra các lỗi hỏng bộ nhớ phức tạp nằm sâu trong trình thông dịch cốt lõi (core language) của một ngôn ngữ lập trình.

Tuy nhiên, điều này cũng đặt ra lời cảnh báo đảo ngược: nếu các nhà nghiên cứu dùng AI để tìm lỗi vá hệ thống được, thì các nhóm hacker cũng hoàn toàn có thể dùng AI để săn lùng các lỗ hổng chưa được công bố (Zero-day) với tốc độ nhanh hơn rất nhiều so với trước đây.

3. Các phiên bản PHP bị ảnh hưởng và bản vá chính thức

Nhóm phát triển PHP đã nhanh chóng tung ra các phiên bản vá lỗi. Quản trị viên hệ thống và lập trình viên cần tiến hành nâng cấp lên các phiên bản mới nhất ngay lập tức:

PHP 8.5 $\rightarrow$ Nâng cấp lên 8.5.12 (hoặc mới hơn)
PHP 8.4 $\rightarrow$ Nâng cấp lên 8.4.27 (hoặc mới hơn)
PHP 8.3 $\rightarrow$ Nâng cấp lên 8.3.36 (hoặc mới hơn)
PHP 8.2 $\rightarrow$ Nâng cấp lên 8.2.35 (hoặc mới hơn)

Lưu ý: Các nhánh cũ hơn (PHP 8.1 trở xuống) đã rơi vào trạng thái hết vòng đời hỗ trợ (EOL) và sẽ không nhận được bản vá chính thức từ nhà phát triển. Các hệ thống đang chạy phiên bản cũ cần được cô lập hoặc nâng cấp mã nguồn lên phiên bản được hỗ trợ.

4. Quản trị viên và chủ website cần làm gì ngay lúc này?

Do các chi tiết kỹ thuật và mã khai thác (PoC) đã bắt đầu lan truyền rộng rãi trên không gian mạng, nguy cơ bị quét và khai thác tự động là rất cao. Các bước hành động khẩn cấp được khuyến nghị:

Cập nhật PHP lập tức: Đây là biện pháp hoàn thiện và quan trọng nhất. Hãy kiểm tra lại môi trường sản xuất (production) của hệ thống.
Kiểm tra các bên thứ ba: Lỗi này không chỉ ảnh hưởng đến website viết thuần bằng PHP mà còn đe dọa các mã nguồn mở phổ biến (như WordPress, Drupal, Nextcloud, phpMyAdmin…) chạy trên nền PHP, cũng như các phần mềm bên thứ ba có tích hợp sẵn thành phần PHP bên trong.
Rà soát dấu hiệu bất thường: Kiểm tra lại log hệ thống (access log, error log) để tìm kiếm các dấu hiệu bất thường như lượng lớn request multipart đột biến, lỗi 500, các tiến trình PHP-FPM chết hàng loạt hoặc sự xuất hiện của các tệp tin lạ (webshell).

Hãy chia sẻ bài viết này cho đội ngũ kỹ thuật hoặc những ai đang vận hành hệ thống máy chủ web để đảm bảo an toàn cho dữ liệu trước khi các cuộc tấn công diện rộng nổ ra!

Nguồn tham khảo: PHP Project, CERT-EU, Wiz, WatchTowr.