Cloudflare triển khai lớp bảo vệ chống lỗ hổng php2shell trên toàn cầu

Cloudflare vừa công bố đã triển khai thành công các lớp bảo vệ nhằm ngăn chặn php2shell — bộ đôi lỗ hổng nghiêm trọng trong PHP được theo dõi với mã CVE-2026-109618 và CVE-2026-109619. Đây là lỗ hổng ảnh hưởng đến mọi máy chủ web chạy PHP 5.4 trở lên, có thể bị khai thác để gây tê liệt dịch vụ, thực thi mã từ xa và rò rỉ dữ liệu. Đáng chú ý, các quy tắc bảo vệ đã được kích hoạt trước thời điểm công bố chính thức khoảng 9 giờ.

Minh họa hệ thống bảo vệ của Cloudflare

Lỗ hổng nằm sâu trong nhân PHP

Theo Cloudflare, php2shell không phải là lỗi ở mã nguồn website hay plugin, mà nằm ngay trong PHP runtime — điều này khiến nó đặc biệt nguy hiểm. Vì PHP được sử dụng bởi gần 70% website trên Internet, trong đó có các nền tảng phổ biến như WordPress và Magento, phạm vi ảnh hưởng là rất lớn.

Bản chất vấn đề nằm ở cách PHP quản lý bộ nhớ khi xảy ra sự cố trong lúc xử lý yêu cầu HTTP. Thông thường, PHP cấp phát bộ nhớ để xử lý một yêu cầu rồi giải phóng khi hoàn tất. Nhưng nếu quá trình xử lý bị ngắt đột ngột — ví dụ do hết bộ nhớ — PHP có thể không dọn dẹp bộ nhớ một cách an toàn và tiếp tục dùng dữ liệu chưa được khởi tạo hoặc đã bị giải phóng.

Hai lỗ hổng khác nhau ở thời điểm xảy ra truy cập bộ nhớ không an toàn:

• CVE-2026-109618: PHP hết bộ nhớ và ngắt công việc trước khi một số dữ liệu nội bộ được khởi tạo đầy đủ. Trong bước dọn dẹp, PHP có thể dùng dữ liệu dang dở này như thể nó hợp lệ.
• CVE-2026-109619: Một lỗi nghiêm trọng ngắt yêu cầu, khiến PHP giữ tham chiếu tới vùng bộ nhớ đã được giải phóng. Khi cùng tiến trình PHP xử lý yêu cầu tiếp theo, nó có thể đi theo tham chiếu cũ và truy cập vùng bộ nhớ không còn hợp lệ, làm lộ dữ liệu nhạy cảm.

Kẻ tấn công có thể gửi các yêu cầu HTTP được thiết kế đặc biệt để kích hoạt những điều kiện này, từ đó làm sập tiến trình PHP, rò rỉ thông tin hoặc thực thi mã độc do chúng cung cấp.

Cách Cloudflare phản ứng

Cloudflare cho biết đã phối hợp cùng Quỹ PHP, OpenAI và Wiz trong một nỗ lực chung nhằm bảo vệ toàn bộ Internet trước khi lỗ hổng được công bố. Từ đầu tháng 10/2026, hãng đã phát triển và triển khai các quy tắc WAF, và đến 3h02 ngày 21/10 (giờ UTC), toàn bộ khách hàng dùng WAF miễn phí hoặc trả phí đều được bảo vệ mặc định.

Đáng chú ý, Cloudflare ghi nhận lỗ hổng đã bị rò rỉ trước ngày phát hành chính thức và có lưu lượng tấn công nhắm vào khách hàng của họ. Kẻ tấn công liên tục biến đổi payload để thử vượt qua lớp phòng vệ, buộc đội ngũ phân tích phải theo dõi số lượng khớp quy tắc và đối chiếu với logic của từng rule.

Bảo vệ chống php2shell đòi hỏi nhiều hơn các quy tắc dựa trên yêu cầu thông thường. Dữ liệu yêu cầu đơn thuần không phải lúc nào cũng đủ để phân biệt một cuộc tấn công với lưu lượng hợp lệ.

Full transaction detection — bước tiến mới của WAF

Để xử lý bài toán này, Cloudflare đã phát triển full transaction detection, một khả năng mới của WAF cho phép kết hợp tín hiệu từ cả yêu cầu lẫn phản hồi trong cùng một giao dịch HTTP. Nhờ đó, hệ thống có thể chặn phản hồi độc hại từ máy chủ gốc trước khi nó đến tay người dùng, đồng thời giảm tỷ lệ báo động giả.

Các biện pháp bảo vệ php2shell là những phát hiện được quản lý đầu tiên sử dụng tính năng này. Quy tắc mới đã được đưa vào Cloudflare Managed Free Ruleset (dành cho người dùng miễn phí) và Cloudflare Managed Ruleset (cho các gói trả phí), cùng một quy tắc chặn mặc định trong Managed Response Firewall Default áp dụng cho mọi gói.

Khuyến cáo cho quản trị viên

Dù WAF đã cung cấp một lớp phòng vệ bổ sung, Cloudflare nhấn mạnh rằng không thể thay thế việc vá lỗi gốc. Quản trị viên cần:

• Cập nhật phiên bản PHP đang chạy trên máy chủ lên bản đã được vá theo khuyến cáo chính thức.
• Nếu PHP do nhà cung cấp hosting quản lý, hãy yêu cầu họ áp dụng bản cập nhật bảo mật.
• Giữ nguyên WAF ở trạng thái bật trong suốt quá trình vá lỗi.
• Hạn chế các tính năng upload không cần thiết và giới hạn kích thước tệp tải lên để giảm bề mặt tấn công.

Người dùng có thể theo dõi các sự kiện bị chặn tại mục Security > Security Analytics > Events, lọc theo mã quy tắc để kiểm tra yêu cầu, hành động và đường dẫn bị khớp. Đội ngũ phân tích của Cloudflare cho biết sẽ tiếp tục cập nhật quy tắc nếu xuất hiện các kỹ thuật khai thác mới trong những ngày tới.

Với các doanh nghiệp và cá nhân tại Việt Nam đang vận hành website dựa trên PHP — đặc biệt là WordPress, Magento hay các hệ thống nội bộ — đây là lời nhắc nhở rõ ràng: hãy kiểm tra phiên bản PHP ngay hôm nay, bởi lỗ hổng nằm ở tầng runtime và không thể khắc phục chỉ bằng việc cập nhật plugin hay mã nguồn ứng dụng.