PHP2Shell: Lỗ hổng 9.2 đẩy hàng triệu website vào vùng nguy hiểm

Tin chính là gì?

Hai lỗ hổng nghiêm trọng trong lõi PHP, được gọi chung là PHP2Shell, vừa buộc cộng đồng vận hành web phải chuyển từ theo dõi sang xử lý khẩn. Theo công bố của Wiz Research, OpenAI Codex Security và Calif, bộ đôi CVE-2026-109618 và CVE-2026-109619 đạt điểm CVSS 9.2, ảnh hưởng PHP từ phiên bản 5.4 trở đi.

CVE-2026-109618 gây ghi đè bộ nhớ khi PHP xử lý tình huống cạn bộ nhớ. CVE-2026-109619 giữ lại trạng thái toàn cục cũ giữa các request, dẫn đến use-after-free. Nhóm nghiên cứu đã demo RCE không cần xác thực trên WordPress, Drupal và Joomla; họ cũng chứng minh khả năng rò rỉ bộ nhớ mà không phụ thuộc ứng dụng. Mật khẩu, token xác thực, API key và chứng chỉ nằm trong tiến trình PHP đều có thể thành dữ liệu bị đánh cắp.

Đáng ngại hơn, Amazon đã phát hiện một lần thử khai thác ngày 17/10/2026, trước khi lỗ hổng được công bố, và các lần thử tiếp tục xuất hiện sau khi bản vá phát hành, theo The Hacker News. Đây không còn là rủi ro trên giấy.

Vì sao đáng chú ý?

PHP vận hành khoảng 70% website, gồm WordPress, Drupal và MediaWiki, nền tảng của Wikipedia. Bề mặt ảnh hưởng của PHP2Shell vì vậy rộng hơn rất nhiều một framework hay một nhà cung cấp cloud riêng lẻ. Nghiên cứu nhận định gần như mọi phiên bản PHP trước khi vá đều dính ít nhất một trong hai lỗi.

Điểm nguy hiểm nằm ở vị trí của lỗi: lõi runtime. Một website có plugin sạch, WAF tốt và code review nghiêm ngặt vẫn có thể thua nếu tiến trình PHP xử lý request độc hại. NSA cảnh báo lỗ hổng này có thể mở đường trực tiếp cho tác nhân đe dọa tiếp cận file system hoặc database máy chủ.

Câu chuyện còn phơi bày một bước ngoặt bảo mật: AI đã được dùng trong phát hiện lỗi, phát triển exploit và xác minh bản vá. Wiz nêu tên Wiz Atlas, Gemini 4 Argon và GPT-5.6-Sol; trong đó Gemini 4 đóng góp đáng kể nhất cho exploit và kiểm tra bản vá. Lợi thế tìm bug cấp runtime đang dịch chuyển nhanh về phía bên nào biết tự động hóa tốt hơn.

Tác động thực chiến

Việc cần làm đầu tiên không phải chỉnh WordPress, thay plugin hay chờ nhà cung cấp hosting gửi email. Đội vận hành phải kiểm kê PHP runtime thực tế trên production, staging, worker và container image, sau đó nâng cấp theo đúng nhánh vá:

• PHP 8.2: lên 8.2.35
• PHP 8.3: lên 8.3.36
• PHP 8.4: lên 8.4.27
• PHP 8.5: lên 8.5.12

Sau nâng cấp, restart toàn bộ PHP-FPM process, redeploy image và xác minh version từ chính máy chủ đang nhận traffic. Đừng tin dashboard quản trị hay version khai báo trong Dockerfile. Đồng thời, cần xoay vòng API key, session secret, database credential và certificate nếu máy chủ đã phơi ra Internet trong giai đoạn có exploit, vì vá lỗi không thu hồi bí mật có thể đã lọt khỏi bộ nhớ.

Cấu hình memory_limit = -1 có thể chặn một số đường tấn công, nhưng đó không phải bản vá: nó đẩy trách nhiệm kiểm soát bộ nhớ sang hệ điều hành. Trang PHP2Shell cũng cảnh báo không dùng RLIMIT_AS hoặc RLIMIT_DATA làm giới hạn thay thế vì chúng có thể kích hoạt chính các đường lỗi liên quan.

Cường Nguyễn nhận định

Đây là kiểu lỗ hổng khiến tư duy “website nhỏ thì ai tấn công” trở thành sự tự ru ngủ nguy hiểm. PHP2Shell không cần một plugin lỗi thời để có cửa vào; nó đánh vào runtime nằm dưới toàn bộ stack. Cloudflare, AWS, Microsoft, Akamai, Vercel và CrowdStrike có thể hỗ trợ phát hiện hoặc giảm thiểu tạm thời, nhưng lớp biên không sửa được bộ nhớ hỏng trong PHP process.

Tôi đánh giá việc phát hiện khai thác trước công bố là tín hiệu rõ ràng: cửa sổ vá đã khép rất nhanh. Founder không nên biến patching thành ticket ưu tiên thấp vì sợ downtime; downtime có kế hoạch luôn rẻ hơn sự cố RCE và xoay vòng toàn bộ credential trong hoảng loạn.

Khuyến nghị cụ thể cho engineering lead: trong ngày, lập một job CI bắt buộc kiểm tra version PHP của mọi image và chặn deploy nếu thấp hơn bản vá theo nhánh. Đây là guardrail có thể tái sử dụng cho các CVE runtime tiếp theo, thay vì chạy một chiến dịch vá thủ công rồi quên sau một tuần.

Câu hỏi thường gặp

Website chạy WordPress có cần chờ plugin hoặc theme cập nhật không?

Không. PHP2Shell nằm trong lõi PHP, nên ưu tiên nâng cấp PHP runtime do hosting, VM, container hoặc Kubernetes workload sử dụng. Plugin và theme không thể tự vá lỗi bộ nhớ của PHP engine.

Dùng WAF của cloud có đủ để an toàn không?

Không đủ. WAF và biện pháp của nhà cung cấp chỉ hỗ trợ phát hiện, lọc một phần exploit hoặc giảm rủi ro tức thời. Nguồn công bố khẳng định nâng cấp PHP là biện pháp khắc phục đầy đủ duy nhất.

Sau khi vá, có cần đổi API key và mật khẩu không?

Nên thực hiện nếu hệ thống có khả năng đã bị phơi nhiễm. Lỗ hổng có thể làm lộ token, API key, mật khẩu và chứng chỉ từ bộ nhớ tiến trình; bản vá ngăn khai thác tiếp diễn nhưng không vô hiệu hóa dữ liệu đã bị đọc.

Nguồn tham khảo: PHP2Shell / Wiz Research, OpenAI Codex Security, Calif và The Hacker News

Tác giả: Cường Nguyễn — Founder AI Ops Solutions | Verified n8n Creator. Kết nối: Facebook · LinkedIn · YouTube · TikTok