Cảnh báo PHP2Shell: lỗ hổng RCE nghiêm trọng trong PHP

Về lỗ hổng

Hai lỗ hổng nằm ở lõi PHP, cho phép kẻ tấn công từ xa, không cần đăng nhập, thực thi mã với quyền của tài khoản chạy web. Cả hai được PHP chấm 9.2/10 theo CVSS v4.0 (mức Critical). Nguyên nhân là PHP có thể để bộ nhớ ở trạng thái hỏng khi một request kết thúc bất thường, nên website không cần có lỗi trong mã ứng dụng vẫn bị tấn công.

• CVE-2026-109618: RCE do hỏng bộ nhớ khi PHP hết bộ nhớ giữa chừng (GHSA-w8hw-w9fx-j79w)
• CVE-2026-109619: RCE do trạng thái toàn cục cũ còn sót lại giữa các request (GHSA-6wmf-4rv5-p3rp)

Mọi cấu hình PHP phục vụ web đều bị ảnh hưởng, gồm PHP-FPM, mod_php, php-cgi, FrankenPHP và LiteSpeed, trong đó mod_php có rủi ro cao nhất. Amazon Threat Intelligence ghi nhận nỗ lực khai thác từ ngày 17/10/2026, trước khi lỗ hổng được công bố, và Cloudflare cũng đã thấy các cuộc tấn công sớm.

Phiên bản bị ảnh hưởng và bản vá

PHP 8.1 trở xuống đã hết hỗ trợ. PHP có cung cấp nhánh mã nguồn backport tối thiểu cho 7.4, 8.0 và 8.1 để tự biên dịch, một số nhà cung cấp LTS cũng có bản vá riêng. Một số hãng bảo mật như Imperva cho rằng lỗ hổng tồn tại từ PHP 5.4, nên các bản PHP cũ hơn 8.2 cần được coi là bị ảnh hưởng. Người dùng kho Remi nên chuyển sang gói của bản phân phối hoặc tự biên dịch vì kho này không có bản cập nhật trong ngày 21/10.

Xử lý cho quản trị website

• Nâng PHP lên 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35 trở lên, ưu tiên nhánh 8.3 trở lên, rồi khởi động lại PHP-FPM hoặc Apache.
• Website đang chạy PHP 8.1 trở xuống: nâng lên nhánh 8.2 trở lên, hoặc dùng bản backport của nhà cung cấp.
• Hosting dùng chung hoặc máy chủ do nhà cung cấp quản lý: liên hệ nhà cung cấp để xác nhận đã vá. Gói PHP của bản phân phối có thể được vá mà không đổi số phiên bản, nên hãy đối chiếu changelog của gói với hai mã CVE.
• Chưa nâng được ngay: áp dụng các biện pháp giảm thiểu trong thông báo của PHP, gồm memory_limit=-1, hạ post_max_size, session.upload_progress.enabled=0 và với PHP 8.5 là fatal_error_backtraces=0. Các biện pháp này không thay thế bản vá.
• Website từng chạy PHP chưa vá nên được rà soát file lạ, tài khoản quản trị lạ và log bất thường. Nếu nghi ngờ bị xâm nhập, khôi phục từ bản sao lưu sạch rồi đổi mật khẩu và khóa API.
• Trong trường hợp không tự làm được những việc trên hãy liên hệ với nhà cung cấp máy chủ/ hosting của bạn.

NukeViet và PHP2Shell

Lỗ hổng nằm ở PHP chứ không phải mã nguồn NukeViet, nên cập nhật NukeViet không thay cho cập nhật PHP. Cả NukeViet 4.5 và NukeViet 4.6 đều hỗ trợ PHP đến 8.5, bao trùm cả bốn nhánh đã có bản vá, nên có thể nâng PHP ngay mà không cần chờ bản NukeViet mới.

• NukeViet 4.6: nâng PHP lên bản đã vá của nhánh 8.2 đến 8.5.
• NukeViet 4.5.x trở xuống: kiểm tra yêu cầu PHP của phiên bản đang dùng, thử trên bản sao trước khi nâng PHP và lên kế hoạch nâng cấp lên 4.6.

Nên sao lưu cơ sở dữ liệu và mã nguồn trước khi nâng PHP. Cần hỗ trợ, bạn có thể đặt câu hỏi trên diễn đàn NukeViet.

Nguồn tham khảo

• PHP.net: Security advisory, Critical remote code execution vulnerabilities, update now
• BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws