Cảnh báo 2 lỗ hổng nghiêm trọng trong PHP

Thông tin được Cục An ninh mạng (Bộ Công an) và Hiệp hội An ninh mạng quốc gia cho biết chiều 22-10. Hai lỗ hổng bảo mật nghiêm trọng trong ngôn ngữ lập trình PHP này đã có bản vá chính thức.

Nhóm phát triển PHP công bố bản phát hành bảo mật cho hai lỗ hổng nghiêm trọng mang mã CVE-2026-109618 và CVE-2026-109619.

Đây là các lỗ hổng do hãng bảo mật Wiz cùng các nhóm nghiên cứu phát hiện với sự hỗ trợ của trí tuệ nhân tạo (AI). Cả hai đều được chấm 9,2 điểm theo thang CVSS v4.0. Nếu bị khai thác, kẻ tấn công có thể thực thi mã từ xa trên máy chủ web chạy PHP mà không cần đăng nhập.

Hiện tại, các phiên bản PHP đã được nâng cấp bản vá chính thức gồm 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Đối với các nhánh 7.4, 8.0 và 8.1 đã hết hỗ trợ chính thức, nhóm phát triển cung cấp bản sửa dưới dạng mã nguồn, đồng thời nhiều nhà phân phối Linux như AlmaLinux, Red Hat, Debian, Ubuntu cùng các đơn vị hỗ trợ dài hạn đã phát hành gói cập nhật.

Riêng các phiên bản từ 7.3 trở về trước sẽ không nhận được bản vá và buộc phải nâng cấp lên phiên bản mới hơn.

Mức độ ảnh hưởng đối với từng hệ thống phụ thuộc vào phiên bản PHP đang dùng, mô hình triển khai và cấu hình tường lửa ứng dụng web (WAF). Sau khi thông tin được công bố, nhiều nhà cung cấp dịch vụ hosting và hạ tầng đám mây đã chủ động cập nhật máy chủ và bổ sung quy tắc chặn trên WAF để giảm thiểu rủi ro cho khách hàng.

Đối với các tổ chức và doanh nghiệp tự vận hành máy chủ, các chuyên gia khuyến nghị cần nhanh chóng lập danh sách kiểm tra toàn bộ máy chủ, website, ứng dụng và container có sử dụng PHP, tránh bỏ sót các hệ thống thử nghiệm hoặc lâu ngày không quan tâm.

Sau khi cập nhật lên các phiên bản đã được vá, các đơn vị cần bật quy tắc WAF, giới hạn kích thước và số lượng yêu cầu, rà soát giới hạn bộ nhớ PHP và kiểm thử kỹ trước khi vận hành thực tế.

Việc tăng cường giám sát nhật ký truy cập cũng rất cần thiết để kịp thời phát hiện các yêu cầu dung lượng lớn, tần suất cao, lỗi bộ nhớ lặp lại hay các tệp lạ xuất hiện trên máy chủ.

Đối với người dùng internet thông thường, hai lỗ hổng này hoàn toàn nằm ở phía máy chủ, không ảnh hưởng trực tiếp đến thiết bị hay trình duyệt cá nhân. Do đó, các hoạt động truy cập, tìm kiếm, mua sắm và giao dịch trực tuyến vẫn diễn ra bình thường.

Dù vậy, người dùng nên rà soát lại các thói quen bảo mật như bật xác thực hai yếu tố (2FA) cho tài khoản quan trọng, sử dụng mật khẩu mạnh riêng biệt và nâng cao cảnh giác trước các tin nhắn, email hay đường dẫn lạ lợi dụng sự cố để lừa đảo thu thập thông tin.

Châu Anh