Hai lỗ hổng bảo mật nghiêm trọng trong PHP, được đánh giá 9,2/10 theo thang CVSS 4.0, đã khiến nhiều website của cơ quan chính phủ và tổ chức tại châu Âu phải tạm ngừng hoạt động để triển khai biện pháp bảo vệ. Các lỗ hổng có thể cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực, đặt ra nguy cơ đối với hàng loạt hệ thống website sử dụng PHP.
NỘI DUNG BÀI VIẾT
-
- Hai lỗ hổng PHP được đánh giá ở mức nghiêm trọng
- Nhiều website chính phủ tại châu Âu phải tạm ngừng hoạt động
- WordPress và các website sử dụng PHP có bị ảnh hưởng không?
- PHP đã phát hành bản vá bảo mật khẩn cấp
- Quản trị viên website và VPS cần làm gì?
- Sự cố PHP đặt ra vấn đề gì đối với bảo mật hạ tầng website?
Ngày 21/10/2026, nhiều website của cơ quan chính phủ, trường học và bệnh viện tại châu Âu đã phải tạm thời ngừng hoạt động trong bối cảnh các đơn vị vận hành khẩn trương xử lý hai lỗ hổng bảo mật nghiêm trọng trong ngôn ngữ lập trình PHP.
Theo Reuters, các cơ quan chính phủ tại Hà Lan và Phần Lan nằm trong số những đơn vị thực hiện biện pháp phòng ngừa này. Đội ứng cứu sự cố an ninh mạng của Liên minh châu Âu (CERT-EU) cũng khuyến nghị các tổ chức cân nhắc tạm ngừng các website bị ảnh hưởng nếu chưa thể triển khai bản vá kịp thời.
Trước tình hình trên, nhóm phát triển PHP đã phát hành các bản cập nhật bảo mật khẩn cấp vào ngày 21/10 nhằm xử lý hai lỗ hổng có khả năng dẫn đến thực thi mã từ xa (Remote Code Execution – RCE).
Hai lỗ hổng PHP được đánh giá ở mức nghiêm trọng
Theo thông báo chính thức từ PHP Security Team, hai lỗ hổng được xác định gồm:
- CVE-2026-109618: Lỗ hổng liên quan đến quá trình xử lý tình trạng hết bộ nhớ (Out-of-Memory), có thể dẫn đến việc sử dụng dữ liệu nội bộ chưa được khởi tạo hợp lệ.
- CVE-2026-109619: Lỗ hổng liên quan đến trạng thái toàn cục (Global State) không hợp lệ, khi dữ liệu nội bộ của một request vẫn có thể được tham chiếu sau khi vùng nhớ tương ứng đã được giải phóng.
Cả hai lỗ hổng đều được đánh giá 9,2/10 điểm theo CVSS phiên bản 4.0, thuộc mức nghiêm trọng (Critical).
Điểm đáng chú ý là các lỗ hổng này có thể cho phép thực thi mã từ xa mà không cần xác thực (Unauthenticated RCE). Trong những điều kiện khai thác phù hợp, kẻ tấn công có thể gửi các yêu cầu độc hại đến website để tác động đến tiến trình PHP trên máy chủ.
Nếu khai thác thành công, mức độ ảnh hưởng có thể bao gồm truy cập trái phép dữ liệu, thay đổi nội dung website hoặc xâm phạm hệ thống máy chủ, tùy thuộc vào quyền hạn của tiến trình PHP và cấu hình bảo mật.
PHP Security Team đặc biệt lưu ý đến các hệ thống sử dụng Apache với mod_php. Nhóm phát triển cho biết đã có trường hợp khai thác được chứng minh, trong đó một yêu cầu không cần xác thực có thể kích hoạt lỗ hổng trước khi mã ứng dụng bắt đầu được thực thi.
Nhiều website chính phủ tại châu Âu phải tạm ngừng hoạt động
Sự xuất hiện của hai lỗ hổng đã tạo ra áp lực lớn đối với các tổ chức vận hành hệ thống website sử dụng PHP.
Theo Reuters, một số cơ quan tại Hà Lan và Phần Lan đã chủ động đưa website về trạng thái ngoại tuyến để hạn chế nguy cơ bị tấn công trong thời gian chờ triển khai bản vá.
Các website của trường học, bệnh viện và một số tổ chức khác cũng được ghi nhận tạm ngừng hoạt động trong quá trình xử lý sự cố.
Đáng chú ý, việc website ngừng hoạt động trong trường hợp này không đồng nghĩa với việc hệ thống đã bị xâm nhập. Đây có thể là biện pháp phòng ngừa nhằm giảm thiểu bề mặt tấn công khi những bản vá bảo mật chưa được áp dụng đầy đủ.
Trong khi đó, Cloudflare cho biết đã ghi nhận những dấu hiệu tấn công ban đầu liên quan đến các lỗ hổng. Tuy nhiên, điều này không có nghĩa mọi website sử dụng PHP đều đã bị khai thác.
Sự việc cho thấy ngay cả những nền tảng phần mềm phổ biến, được duy trì và phát triển trong thời gian dài, vẫn có thể tồn tại các vấn đề bảo mật nghiêm trọng ở tầng xử lý bên dưới ứng dụng.
WordPress và các website sử dụng PHP có bị ảnh hưởng không?
PHP là ngôn ngữ lập trình phía máy chủ được sử dụng rộng rãi trong phát triển website. Nhiều hệ thống quản trị nội dung và ứng dụng web phổ biến như WordPress, Drupal, Joomla và Magento đều hoạt động dựa trên PHP.
Do đó, các website sử dụng những nền tảng này cần kiểm tra phiên bản PHP và môi trường thực thi thực tế.
Tuy nhiên, cần phân biệt rõ: Lỗ hổng lần này nằm trong PHP, không phải một lỗ hổng riêng của WordPress hay các plugin WordPress.
Một website WordPress có thể sử dụng mã nguồn, theme và plugin đã được cập nhật đầy đủ nhưng vẫn gặp rủi ro nếu phiên bản PHP trên máy chủ chưa được vá.
Theo PHP Security Team, phạm vi cần kiểm tra bao gồm các hệ thống PHP phục vụ yêu cầu web thông qua:
- PHP-FPM
- Apache với mod_php
- php-cgi
- FrankenPHP
- LiteSpeed
Mức độ rủi ro thực tế còn phụ thuộc vào phiên bản PHP, cấu hình máy chủ và điều kiện khai thác.
Đối với các doanh nghiệp vận hành website trên VPS hoặc máy chủ riêng, sự việc cũng cho thấy tầm quan trọng của việc cập nhật bảo mật ở cả tầng hệ điều hành, phần mềm máy chủ và môi trường chạy ứng dụng, thay vì chỉ tập trung vào mã nguồn website.
PHP đã phát hành bản vá bảo mật khẩn cấp
Ngày 21/10/2026, nhóm phát triển PHP chính thức công bố các phiên bản cập nhật nhằm xử lý hai lỗ hổng CVE-2026-109618 và CVE-2026-109619.
Các phiên bản đã được vá gồm:
| Nhánh PHP | Phiên bản vá bảo mật |
|---|---|
| PHP 8.5 | PHP 8.5.12 |
| PHP 8.4 | PHP 8.4.27 |
| PHP 8.3 | PHP 8.3.36 |
| PHP 8.2 | PHP 8.2.35 |
Nhóm phát triển PHP khuyến nghị người dùng cập nhật ngay lên các phiên bản đã được vá tương ứng.
Đối với PHP 8.1 trở về trước, các nhánh này không còn nhận bản cập nhật bảo mật thông thường từ dự án PHP. Một số nhà cung cấp hệ điều hành hoặc dịch vụ hỗ trợ dài hạn (LTS) có thể cung cấp bản vá được chuyển ngược (backport) cho những phiên bản cũ.
Riêng PHP 8.2 dự kiến kết thúc hỗ trợ bảo mật vào ngày 31/12/2026. Vì vậy, các tổ chức vẫn sử dụng nhánh này nên lên kế hoạch chuyển đổi sang phiên bản PHP được hỗ trợ lâu dài hơn.
Theo PHP Security Team, không có biện pháp giảm thiểu tạm thời nào có thể thay thế hoàn toàn việc cập nhật bản vá.
Quản trị viên website và VPS cần làm gì?
Trước những rủi ro được công bố, quản trị viên website và hệ thống máy chủ nên ưu tiên thực hiện các bước sau.
1. Kiểm tra phiên bản PHP đang sử dụng
Đối với hệ thống VPS hoặc Server có quyền truy cập dòng lệnh, quản trị viên có thể kiểm tra phiên bản PHP CLI bằng lệnh:
php -vLưu ý, phiên bản PHP hiển thị qua dòng lệnh không nhất thiết trùng với phiên bản PHP mà website đang sử dụng.
Nếu máy chủ có nhiều phiên bản PHP hoặc sử dụng PHP-FPM, cần kiểm tra cấu hình thực tế của từng website và PHP-FPM pool tương ứng.
2. Cập nhật PHP lên phiên bản đã được vá
Đối chiếu phiên bản hiện tại với thông báo bảo mật chính thức trên PHP.net và kho phần mềm của nhà cung cấp hệ điều hành.
Trước khi cập nhật, cần sao lưu dữ liệu quan trọng và kiểm tra khả năng tương thích với mã nguồn website, theme, plugin hoặc các thư viện đang sử dụng.
Đối với môi trường Production, nên thực hiện cập nhật theo quy trình có kiểm soát, bao gồm kiểm thử và phương án khôi phục khi phát sinh sự cố.
3. Kiểm tra các hệ thống sử dụng PHP phiên bản cũ
Các hệ thống vận hành trên PHP 8.1 trở về trước cần đặc biệt lưu ý đến chính sách hỗ trợ bảo mật.
Nếu chưa thể nâng cấp lên nhánh PHP mới, cần xác minh với nhà cung cấp hệ điều hành hoặc đơn vị quản trị máy chủ về khả năng cung cấp bản vá backport.
Không nên mặc định rằng mọi phiên bản PHP cũ đều đã được bảo vệ chỉ vì hệ điều hành vẫn đang nhận cập nhật.
4. Rà soát nhật ký hệ thống và hoạt động bất thường
Quản trị viên nên kiểm tra nhật ký truy cập web, lỗi PHP và các sự kiện bảo mật để phát hiện những dấu hiệu bất thường.
Một số hoạt động cần chú ý gồm:
- Lượng request tăng đột biến không rõ nguyên nhân.
- Tiến trình PHP thường xuyên gặp lỗi hoặc khởi động lại.
- Xuất hiện tệp tin hoặc tiến trình không xác định.
- Các thay đổi bất thường đối với nội dung website và dữ liệu.
Việc kiểm tra log không thể tự khẳng định hệ thống có hoặc không bị khai thác, nhưng có thể hỗ trợ quá trình điều tra và đánh giá mức độ ảnh hưởng.
5. Áp dụng biện pháp phòng ngừa khi chưa thể cập nhật
Trong trường hợp chưa thể triển khai bản vá ngay, quản trị viên cần đánh giá mức độ phơi nhiễm và khả năng tạm thời hạn chế truy cập đến hệ thống.
PHP Security Team có công bố một số biện pháp giảm thiểu theo từng lỗ hổng. Tuy nhiên, các biện pháp này chỉ giảm rủi ro đối với một số phương thức khai thác đã biết và không bảo đảm hệ thống hoàn toàn an toàn.
Với các website có mức độ rủi ro cao, việc tạm thời ngừng phục vụ có thể cần được cân nhắc cho đến khi hoàn tất cập nhật.
Sự cố PHP đặt ra vấn đề gì đối với bảo mật hạ tầng website?
Sự kiện lần này là lời nhắc nhở về mối liên hệ giữa bảo mật ứng dụng và bảo mật hạ tầng máy chủ.
Một website không chỉ phụ thuộc vào mã nguồn mà còn hoạt động trên nhiều lớp công nghệ, từ hệ điều hành, web server, PHP Runtime cho đến cơ sở dữ liệu và các thành phần mạng.
Lỗ hổng tại bất kỳ lớp nào cũng có thể trở thành điểm yếu của toàn bộ hệ thống nếu không được phát hiện và xử lý kịp thời.
Đối với doanh nghiệp sử dụng VPS hoặc Cloud Server để triển khai website, việc chủ động quản lý phiên bản phần mềm, theo dõi thông báo bảo mật, duy trì bản sao lưu và thiết lập quy trình cập nhật định kỳ là những yếu tố quan trọng để giảm thiểu rủi ro.
Đặc biệt, những hệ thống có yêu cầu hoạt động liên tục cần xây dựng phương án bảo trì, khôi phục và ứng phó sự cố phù hợp, nhằm hạn chế ảnh hưởng khi phải triển khai các bản vá khẩn cấp.
Hai lỗ hổng CVE-2026-109618 và CVE-2026-109619 cho thấy những rủi ro bảo mật nghiêm trọng có thể xuất hiện ngay trong các thành phần nền tảng của hệ thống website.
Việc nhiều tổ chức tại châu Âu phải tạm ngừng hoạt động website để triển khai biện pháp bảo vệ cho thấy tác động thực tế của sự cố đối với hoạt động vận hành và cung cấp dịch vụ trực tuyến.
Hiện PHP đã phát hành các phiên bản vá bảo mật cho những nhánh được hỗ trợ. Quản trị viên website và máy chủ được khuyến nghị kiểm tra môi trường PHP đang sử dụng, áp dụng bản cập nhật phù hợp và theo dõi những hướng dẫn mới nhất từ PHP Security Team.
Nguồn tham khảo:
