Tin công nghệ

PHP vá khẩn cấp 2 lỗ hổng RCE nghiêm trọng: website doanh nghiệp cần làm gì ngay

Posted on by superadmin

Ngày 20/10/2026, nhóm phát triển PHP phát đi cảnh báo yêu cầu quản trị viên chuẩn bị cập nhật khẩn cấp cho hai lỗ hổng thực thi mã từ xa (RCE) trong lõi PHP. Bản vá được lên lịch phát hành ngày 21/10/2026 lúc 14:00 UTC (21:00 giờ Việt Nam). Vì phần lớn website doanh nghiệp tại Việt Nam, từ trang giới thiệu, cửa hàng WooCommerce đến hệ thống nội bộ, đều chạy trên WordPress và PHP, đây là sự kiện bảo mật mà mọi doanh nghiệp nên theo dõi sát trong tuần này.

Những gì đã biết về hai lỗ hổng

Hai lỗ hổng được nhóm nghiên cứu watchTowr gắn mã CVE-2026-109618 và CVE-2026-109619. Theo thông báo của PHP, mỗi lỗi được chấm 9,2 điểm theo thang CVSS v4.0, mức nghiêm trọng (một số nguồn tin rò rỉ trước đó nêu mức 10,0 nhưng chưa được xác nhận chính thức). Thông tin bị lộ trước thời hạn công bố dự kiến, nên PHP quyết định đẩy lịch vá sớm hơn và cho biết có thể phát hành sớm hơn nữa nếu chi tiết kỹ thuật bị công khai hoặc xuất hiện tấn công thực tế.

Đến thời điểm viết bài, chưa có ghi nhận khai thác ngoài thực tế và chưa có mã khai thác công khai, dù watchTowr cho biết đã tái hiện được ít nhất một lỗi. Phạm vi phiên bản bị ảnh hưởng chưa được công bố chính thức; một số báo cáo cho rằng lỗi có thể tồn tại từ PHP 5 tới PHP 8, nhưng bản vá dự kiến chỉ dành cho các nhánh PHP 8 còn được hỗ trợ.

Vì sao doanh nghiệp Việt Nam cần quan tâm

  • RCE là kịch bản xấu nhất: kẻ tấn công có thể chạy mã tùy ý trên máy chủ web, cài mã độc, đánh cắp dữ liệu khách hàng, đơn hàng hoặc dùng máy chủ làm bàn đạp tấn công tiếp.
  • Nhiều hệ thống còn chạy PHP cũ: các website dựng từ nhiều năm trước trên PHP 7.x hoặc 8.0, 8.1 sẽ không nhận được bản vá và cần nâng cấp nhánh.
  • Thời gian vá thường bị kéo dài: với hosting chia sẻ, việc cập nhật phụ thuộc nhà cung cấp; doanh nghiệp cần chủ động hỏi thay vì chờ.

Việc cần làm trong 24-48 giờ tới

1. Kiểm kê phiên bản PHP

Lập danh sách mọi website, ứng dụng và máy chủ dùng PHP (kể cả máy chủ nội bộ, phần mềm kế toán web, hệ thống camera hay NAS có giao diện PHP). Ghi rõ phiên bản và ai chịu trách nhiệm cập nhật: đội IT nội bộ, nhà cung cấp hosting hay đối tác phát triển.

2. Cập nhật ngay khi bản vá phát hành

Với các nhánh PHP 8 còn hỗ trợ, áp dụng bản phát hành mới nhất rồi khởi động lại PHP-FPM hoặc máy chủ web. Ưu tiên các hệ thống công khai trên Internet, đặc biệt là website bán hàng và cổng thông tin khách hàng. Nếu dùng hosting hoặc VPS quản lý, hãy liên hệ nhà cung cấp để xác nhận lịch cập nhật.

3. Hệ thống không thể vá

PHP 7.x, 8.0, 8.1 đã hết hỗ trợ; PHP 8.2 cũng sẽ hết hỗ trợ bảo mật vào cuối năm 2026. Với các hệ thống này, cần lên kế hoạch nâng cấp. Trong lúc chờ, hạn chế truy cập bằng VPN hoặc danh sách IP cho phép, đặt sau tường lửa ứng dụng web (WAF) hoặc reverse proxy, tắt các endpoint và chế độ chạy PHP không dùng tới.

4. Theo dõi dấu hiệu bất thường

Do chưa có chữ ký phát hiện cụ thể, nên giám sát các tiến trình lạ do máy chủ web sinh ra (shell, curl, wget), tệp mới hoặc bị sửa trong thư mục web, và kết nối ra ngoài bất thường. Sao lưu đầy đủ website và cơ sở dữ liệu trước khi cập nhật để có thể khôi phục nhanh.

Góc nhìn DTIC

Sự cố lần này một lần nữa cho thấy website doanh nghiệp không phải dựng một lần là xong. Cần có quy trình cập nhật định kỳ, sao lưu tự động và lớp bảo vệ phía trước như CDN/WAF và tường lửa. Doanh nghiệp chưa có đội IT riêng có thể cân nhắc dịch vụ thuê IT để được kiểm tra phiên bản, vá lỗi và giám sát thường xuyên. Tham khảo các giải pháp thiết bị mạng, tường lửa và NAS sao lưu tại DTIC, hoặc gửi yêu cầu để được tư vấn miễn phí.

Nguồn tham khảo