Hai lỗ hổng nghiêm trọng trong PHP đã có bản vá

Theo thông tin từ Cục An ninh mạng và Hiệp hội An ninh mạng quốc gia ngày 22/10, hai lỗ hổng bảo mật mang mã CVE-2026-109618 và CVE-2026-109619 trong ngôn ngữ lập trình PHP đã có bản vá chính thức. Người dùng internet thông thường không bị ảnh hưởng trực tiếp và có thể tiếp tục sử dụng bình thường. Các tổ chức, doanh nghiệp vận hành website có sử dụng PHP nên rà soát hệ thống và cập nhật bản vá sớm.

Các lỗ hổng bảo mật trong PHP có thể cho phép tin tặc chiếm quyền thực thi mã trên máy chủ. (Ảnh minh họa)

PHP là ngôn ngữ lập trình được sử dụng rộng rãi trong phát triển website, hệ thống thương mại điện tử, cổng thông tin và nền tảng quản trị nội dung.

Ngày 21/10, nhóm phát triển PHP công bố các bản cập nhật bảo mật nhằm khắc phục hai lỗ hổng được đánh giá ở mức nghiêm trọng, cùng đạt 9,2/10 điểm theo thang CVSS v4.0.

Nếu khai thác thành công, tin tặc có thể thực thi mã từ xa trên máy chủ web chạy PHP mà không cần đăng nhập. Điều này tiềm ẩn nguy cơ ảnh hưởng đến an toàn của hệ thống và dữ liệu được lưu trữ trên máy chủ.

Hai lỗ hổng được hãng bảo mật Wiz cùng một số nhóm nghiên cứu phát hiện với sự hỗ trợ của công cụ trí tuệ nhân tạo (AI), sau đó thông báo cho nhóm phát triển PHP trước khi công bố rộng rãi.

Các phiên bản đã được vá gồm PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Với một số phiên bản cũ đã hết thời hạn hỗ trợ chính thức, bản sửa được cung cấp dưới dạng mã nguồn hoặc thông qua các nhà phân phối hệ điều hành và dịch vụ hỗ trợ dài hạn.

Riêng các phiên bản PHP 7.3 trở về trước không có bản vá, cần được nâng cấp để bảo đảm an toàn.

Tuy nhiên, theo thông tin từ các cơ quan an ninh mạng, không phải mọi website sử dụng PHP đều có nguy cơ bị khai thác như nhau. Mức độ ảnh hưởng phụ thuộc vào phiên bản phần mềm, cách thức triển khai và các biện pháp bảo vệ đang được áp dụng.

Việc khai thác hai lỗ hổng cũng đòi hỏi những yêu cầu được thiết kế đặc biệt và khả năng kiểm soát trạng thái bộ nhớ. Các hệ thống có tường lửa ứng dụng web (WAF) được cấu hình phù hợp có thể giảm nguy cơ bị tấn công.

Sau khi thông tin về lỗ hổng được công bố, một số nhà cung cấp dịch vụ lưu trữ web và hạ tầng đám mây đã cập nhật bản vá, bổ sung quy tắc bảo vệ trên hệ thống WAF. Doanh nghiệp thuê dịch vụ hosting được khuyến nghị liên hệ nhà cung cấp để xác nhận tình trạng cập nhật.

Với các đơn vị tự quản lý máy chủ, chuyên gia khuyến nghị rà soát toàn bộ website, ứng dụng và môi trường sử dụng PHP, bao gồm cả hệ thống thử nghiệm hoặc ít được sử dụng. Sau khi xác định phiên bản đang chạy, doanh nghiệp cần nâng cấp lên bản đã khắc phục lỗ hổng.

Bên cạnh cập nhật phần mềm, các đơn vị cần tăng cường giám sát nhật ký truy cập, chú ý những dấu hiệu bất thường như lượng yêu cầu tăng đột biến, lỗi bộ nhớ lặp lại, tiến trình PHP dừng đột ngột hoặc xuất hiện tệp lạ trên máy chủ.

Đối với người dùng Internet thông thường, hai lỗ hổng nằm ở phía máy chủ website, không trực tiếp ảnh hưởng đến thiết bị hay trình duyệt cá nhân. Vì vậy, người dùng không cần ngừng truy cập các dịch vụ trực tuyến chỉ vì thông tin về lỗ hổng này.

Dù vậy, người dùng vẫn nên duy trì các biện pháp bảo vệ tài khoản như bật xác thực hai yếu tố, sử dụng mật khẩu riêng cho từng dịch vụ và cảnh giác với email, tin nhắn hoặc đường dẫn lạ.

Theo khuyến nghị của các chuyên gia, ưu tiên hiện nay là rà soát hệ thống, cập nhật bản vá và giám sát liên tục, thay vì lo lắng quá mức trước thông tin về lỗ hổng bảo mật.

Hoa Vũ