Cảnh báo hai lỗ hổng PHP nghiêm trọng, doanh nghiệp cần sớm cập nhật bản vá

Ảnh minh họa: Các lỗ hổng bảo mật trong PHP có thể ảnh hưởng đến hoạt động của website nếu không được cập nhật bản vá kịp thời.

Lỗ hổng có thể cho phép thực thi mã từ xa

Hai lỗ hổng bảo mật trong ngôn ngữ lập trình PHP có thể cho phép tin tặc thực thi mã từ xa trên máy chủ web mà không cần đăng nhập. Bản vá chính thức đã được phát hành, người dùng Internet thông thường không cần quá lo lắng, trong khi các tổ chức, doanh nghiệp cần chủ động kiểm tra hệ thống và cập nhật kịp thời.

PHP là ngôn ngữ lập trình phổ biến, được sử dụng để xây dựng và vận hành nhiều website, hệ thống thương mại điện tử, cổng thông tin và nền tảng quản trị nội dung. Vì vậy, lỗ hổng trong PHP có thể đặt ra rủi ro đối với các hệ thống sử dụng công nghệ này nếu không được xử lý kịp thời.

Ngày 21/10/2026, nhóm phát triển PHP công bố các bản phát hành bảo mật nhằm khắc phục hai lỗ hổng nêu trên. Cả hai đều đạt 9,2/10 điểm theo thang đánh giá CVSS v4.0, thuộc mức nghiêm trọng. Nếu khai thác thành công, kẻ tấn công có thể thực thi mã từ xa trên máy chủ web chạy PHP mà không cần đăng nhập, qua đó đe dọa an toàn của hệ thống và dữ liệu được lưu trữ, xử lý trên máy chủ.

Theo thông tin được công bố, các lỗ hổng được hãng bảo mật Wiz cùng một số nhóm nghiên cứu phát hiện, với sự hỗ trợ của các công cụ trí tuệ nhân tạo (AI). Các phát hiện đã được thông báo cho nhóm phát triển PHP trước khi công bố rộng rãi, tạo điều kiện để chuẩn bị bản vá.

Các phiên bản PHP đã có bản cập nhật khắc phục gồm 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Đối với những nhánh PHP đã hết thời gian hỗ trợ chính thức, một số nhà cung cấp và đơn vị duy trì các bản phân phối Linux đã phát hành gói sửa lỗi tương ứng. Trong khi đó, các phiên bản PHP cũ hơn không có bản vá phù hợp cần được đánh giá để nâng cấp hoặc thay thế.

Không phải mọi website sử dụng PHP đều có nguy cơ như nhau

Dù PHP được sử dụng rộng rãi, mức độ ảnh hưởng của hai lỗ hổng phụ thuộc vào phiên bản đang vận hành, cấu hình và mô hình triển khai của từng hệ thống. Việc khai thác còn có thể đòi hỏi các yêu cầu được thiết kế đặc biệt và khả năng kiểm soát chính xác trạng thái bộ nhớ. Do đó, không thể chỉ căn cứ vào việc một website sử dụng PHP để kết luận hệ thống đó chắc chắn bị ảnh hưởng hoặc có thể bị khai thác thành công.

Các biện pháp bảo vệ ở lớp ứng dụng, trong đó có tường lửa ứng dụng web (WAF), có thể giúp hạn chế một số hướng tấn công nếu được cấu hình phù hợp. Tuy nhiên, WAF không thể thay thế việc cập nhật bản vá và không bảo đảm loại bỏ hoàn toàn nguy cơ.

Sau khi thông tin về lỗ hổng được công bố, một số nhà cung cấp dịch vụ lưu trữ website (hosting) và hạ tầng đám mây đã triển khai cập nhật, đồng thời bổ sung quy tắc lọc trên hệ thống WAF để giảm thiểu nguy cơ. Với các đơn vị thuê dịch vụ hosting, việc cần làm là liên hệ nhà cung cấp để xác nhận phiên bản PHP đang chạy, tình trạng cập nhật và những biện pháp bảo vệ đã được áp dụng.

Đối với các tổ chức, doanh nghiệp tự quản lý máy chủ, việc rà soát cần được thực hiện trên toàn bộ hệ thống, không chỉ những website đang hoạt động thường xuyên. Các máy chủ thử nghiệm, môi trường container, ứng dụng nội bộ hoặc hệ thống ít được bảo trì cũng cần được kiểm tra, bởi đây có thể là những điểm dễ bị bỏ sót trong quá trình quản lý an toàn thông tin.

Trước hết, đơn vị cần lập danh sách máy chủ, website, ứng dụng và môi trường có sử dụng PHP, xác định chính xác phiên bản đang vận hành để khoanh vùng các hệ thống có khả năng bị ảnh hưởng. Trên cơ sở đó, cần ưu tiên cập nhật lên phiên bản đã được vá và còn được hỗ trợ chính thức. Với các hệ thống đang sử dụng nhánh PHP đã hết vòng đời hỗ trợ, doanh nghiệp cần xây dựng kế hoạch nâng cấp lên phiên bản còn được hỗ trợ; trong thời gian chuyển đổi, phải áp dụng các biện pháp giảm thiểu rủi ro phù hợp.

Song song với cập nhật phần mềm, các đơn vị nên rà soát cấu hình máy chủ; cập nhật các quy tắc bảo vệ cần thiết; kiểm tra giới hạn kích thước, tần suất yêu cầu và cấu hình

bộ nhớ của PHP. Mọi thay đổi cần được kiểm thử để hạn chế nguy cơ làm gián đoạn hoạt động bình thường của ứng dụng.

Công tác giám sát cũng cần được tăng cường. Các dấu hiệu như yêu cầu truy cập bất thường, lỗi hết bộ nhớ lặp lại, tiến trình PHP dừng đột ngột hoặc tệp lạ xuất hiện trên máy chủ cần được kiểm tra, đối chiếu với nhật ký hệ thống. Nếu phát hiện dấu hiệu xâm nhập, đơn vị cần triển khai quy trình ứng cứu sự cố, bảo toàn nhật ký và dữ liệu phục vụ điều tra, thay vì chỉ cập nhật phần mềm rồi coi như đã xử lý xong.

Người dùng Internet có thể tiếp tục sử dụng dịch vụ bình thường

Đối với người dùng Internet thông thường, hai lỗ hổng này nằm ở phía máy chủ chạy website, không phải lỗ hổng trực tiếp trên thiết bị cá nhân hay trình duyệt. Vì vậy, người dùng vẫn có thể truy cập website, tìm kiếm thông tin, mua sắm và thực hiện các giao dịch trực tuyến như bình thường; không cần ngừng sử dụng dịch vụ chỉ vì thông tin về hai lỗ hổng được công bố.

Tuy nhiên, người dùng vẫn cần duy trì các nguyên tắc bảo mật cơ bản. Nên bật xác thực hai yếu tố đối với những tài khoản quan trọng như email, ngân hàng, ví điện tử và mạng xã hội; sử dụng mật khẩu đủ mạnh, không dùng chung giữa các tài khoản; đồng thời cảnh giác với email, tin nhắn hoặc đường dẫn lạ lợi dụng thông tin về lỗ hổng để dụ người dùng cung cấp dữ liệu cá nhân, mật khẩu hay mã xác thực.

Theo các chuyên gia, việc phát hiện và công bố lỗ hổng là một phần của quá trình bảo đảm an toàn trong hệ sinh thái công nghệ. Điều quan trọng là bản vá đã được phát hành, tạo cơ sở để các nhà cung cấp dịch vụ và đơn vị vận hành hệ thống chủ động khắc phục. Trong bối cảnh đó, ưu tiên cần đặt vào việc xác định đúng phạm vi ảnh hưởng, cập nhật bản vá theo thứ tự rủi ro và duy trì giám sát liên tục.

Thay vì hoang mang trước các cảnh báo bảo mật, người dùng nên tiếp tục thực hiện các biện pháp an toàn thường ngày; còn doanh nghiệp cần coi đây là yêu cầu cụ thể để rà soát năng lực quản trị hệ thống, khắc phục những điểm yếu tồn tại và nâng cao khả năng ứng phó trước các nguy cơ an ninh mạng.

Uyên Na