Dự án PHP đã phát hành bản vá khẩn cho hai lỗ hổng nghiêm trọng có thể cho phép kẻ tấn công từ xa chạy mã trên máy chủ mà không cần xác thực. Người quản trị website dùng PHP được khuyến cáo kiểm tra phiên bản và cập nhật ngay, thay vì chỉ dựa vào tường lửa hay thay đổi cấu hình tạm thời.

Hai lỗ hổng được theo dõi dưới mã CVE-2026-109618 và CVE-2026-109619. Các phiên bản đã vá gồm PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35.

Thông báo của PHP nói không có biện pháp giảm thiểu đầy đủ nào thay thế được việc nâng cấp. Các nhánh đã hết hỗ trợ không nên được xem là an toàn chỉ vì số phiên bản khác danh sách trên; hướng xử lý phù hợp là chuyển sang một nhánh còn được hỗ trợ và cài bản mới nhất.

Vì sao lỗi này đáng chú ý?

“Thực thi mã từ xa” có nghĩa một lỗ hổng có thể cho phép người bên ngoài ra lệnh cho máy chủ trong những điều kiện nhất định. Hậu quả tiềm tàng gồm sửa hoặc đánh cắp dữ liệu, cài mã độc, chiếm tài khoản hay dùng máy chủ để tấn công nơi khác.

Điều đó không có nghĩa mọi website chạy PHP đã bị xâm nhập. Mức phơi nhiễm còn tùy hệ điều hành, cách PHP được triển khai, máy chủ web và cấu hình ứng dụng. Tuy nhiên, vì lỗi có thể bị khai thác mà không cần đăng nhập và PHP được dùng rộng rãi, việc trì hoãn cập nhật làm tăng rủi ro.

Associated Press cho biết nhiều cơ quan và tổ chức đã tạm đưa website ngoại tuyến trong lúc vá hệ thống. Đây là lựa chọn thận trọng khi đơn vị chưa thể xác nhận đã cập nhật hoặc chưa đánh giá xong phạm vi ảnh hưởng; không phải bằng chứng rằng tất cả các website đó đã bị tấn công.

Năm bước nên làm ngay

Lập danh sách hệ thống dùng PHP. Kiểm tra máy chủ chính, môi trường thử nghiệm, tác vụ dòng lệnh, container và bản PHP đi kèm bảng điều khiển hosting.Xác nhận phiên bản đang chạy thực tế. Đừng chỉ nhìn phiên bản trong kho mã; phiên bản của tiến trình phục vụ web mới là điều quyết định.Sao lưu và nâng cấp lên bản đã vá. Thử các chức năng quan trọng sau cập nhật, nhất là đăng nhập, thanh toán, biểu mẫu và tích hợp bên thứ ba.Khởi động lại dịch vụ cần thiết. Nếu tiến trình cũ vẫn nằm trong bộ nhớ, việc cài gói mới có thể chưa đủ để bản vá có hiệu lực.Rà soát dấu hiệu bất thường. Kiểm tra nhật ký truy cập, tệp mới hoặc bị sửa, tài khoản quản trị, tác vụ định kỳ và kết nối đi ra ngoài.

Những website thuê hosting quản lý nên hỏi nhà cung cấp ba câu cụ thể: phiên bản PHP nào đang phục vụ trang, bản vá được cài lúc nào, và khách hàng có cần khởi động lại hay chuyển môi trường không.

Không nên làm gì?

Không nên công khai chi tiết cấu hình nhạy cảm hoặc thử mã khai thác trên hệ thống không thuộc quyền quản lý. Cũng không nên coi plugin bảo mật, CDN hay web application firewall là giải pháp thay thế cho bản vá. Chúng có thể giảm một phần bề mặt tấn công, nhưng chính dự án PHP nói cập nhật là lựa chọn an toàn.

Sau khi vá, quản trị viên nên giữ bản ghi thời gian cập nhật và phạm vi máy chủ đã xử lý. Đây là thông tin hữu ích nếu phải điều tra một cảnh báo muộn hơn hoặc chứng minh việc đáp ứng yêu cầu bảo mật với khách hàng.

Tác giả

Về người viết

Cộng đồng

Bình luận

Người dùngĐang kiểm tra phiên đăng nhập…

Cuộn đến đây để tải thảo luận.