Hai lỗ hổng nghiêm trọng trong PHP cho phép chạy mã từ xa không cần xác thực

Hai lỗ hổng nghiêm trọng vừa được phát hiện trong các runtime web PHP, mang mã định danh CVE-2026-109618 và CVE-2026-109619. Theo cảnh báo bảo mật do AWS công bố ngày 21/10/2026, lỗ hổng cho phép một đối tượng không cần xác thực chạy mã tùy ý trên các hệ thống bị ảnh hưởng.

Mức độ ảnh hưởng

Theo mô tả, kẻ tấn công từ xa có thể gửi các yêu cầu web được thiết kế đặc biệt tới các PHP worker bị ảnh hưởng, từ đó:

• Thực thi mã tùy ý trên máy chủ
• Đọc dữ liệu mà tiến trình có thể truy cập
• Gây tấn công từ chối dịch vụ (DoS)

Lỗ hổng có thể bị khai thác từ internet tới biên ứng dụng của người dùng mà không cần xác thực. Tuy vậy, phạm vi ảnh hưởng được giới hạn trong worker bị tác động và quyền hạn ở cấp ứng dụng; đến nay chưa ghi nhận khả năng lan truyền chéo giữa các khách hàng.

AWS khẳng định các dịch vụ của mình không bị ảnh hưởng trực tiếp, nhưng khách hàng tự triển khai PHP trên hạ tầng AWS có thể gặp rủi ro và cần rà soát ngay.

Các phiên bản PHP bị ảnh hưởng

Danh sách phiên bản cần vá cụ thể như sau:

• PHP 8.5: từ 8.5.0 đến 8.5.11, bản vá đầu tiên là 8.5.12
• PHP 8.4: từ 8.4.0 đến 8.4.26, bản vá đầu tiên là 8.4.27
• PHP 8.3: từ 8.3.0 đến 8.3.35, bản vá đầu tiên là 8.3.36
• PHP 8.2: từ 8.2.0 đến 8.2.34, bản vá đầu tiên là 8.2.35
• PHP 5.4 đến 8.1: không có bản vá từ nhà phát triển gốc do đã hết vòng đời

Điểm đáng lo ngại là các nhánh PHP cũ từ 5.4 đến 8.1 sẽ không nhận được bản sửa lỗi nào. Người dùng buộc phải nâng cấp lên một nhánh được hỗ trợ.

Hướng dẫn xử lý trên các dịch vụ AWS

AWS đã triển khai các biện pháp xử lý ở cấp cấu hình cho một số dịch vụ:

• Amazon WorkMail: đã áp dụng kiểm soát cấu hình nhằm hạn chế điều kiện khai thác, dự kiến nâng cấp lên PHP 8.3.36 vào ngày 22/10/2026, khách hàng không cần thao tác.
• AWS Elastic Beanstalk: phát hành phiên bản nền tảng PHP mới (v4.13.12) từ ngày 21/10/2026. Khách hàng bật tính năng cập nhật nền tảng tự động sẽ nhận bản vá trong cửa sổ bảo trì gần nhất.
• Amazon Linux: gói PHP cập nhật dự kiến có vào ngày 22/10/2026, người dùng nên cài đặt ngay khi có.
• Amazon Lightsail: blueprint mới dự kiến phát hành ngày 21/10/2026. Vì AWS không thể cập nhật tại chỗ các instance đang chạy, khách hàng cần tạo instance mới từ blueprint đã vá và chuyển ứng dụng sang.

Biện pháp giảm thiểu tạm thời

Theo AWS, cách khắc phục triệt để duy nhất là nâng cấp ngay lên bản PHP đã vá: 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35. Các thay đổi cấu hình chỉ giúp giảm tác động với những hệ thống chưa thể cập nhật kịp.

Với người dùng AWS WAF, có thể áp dụng một số biện pháp bù trừ:

• Với CVE-2026-109618: dùng quy tắc SizeRestrictions_BODY trong nhóm quy tắc quản lý Core rule set (CRS) để chặn các request có body vượt quá 8 KB (8.192 byte).
• Với CVE-2026-109619: thêm quy tắc tùy chỉnh vào WebACL để chặn các request POST chứa PHP_SESSION_UPLOAD_PROGRESS trong body và PHPSESSID trong body hoặc cookie.

Đối với các runtime đã hết vòng đời từ 5.4 đến 8.1, cần áp dụng ngay các kiểm soát cấu hình tạm thời, khởi động lại PHP worker và bắt đầu quá trình chuyển đổi sang nhánh được hỗ trợ. Lưu ý rằng không có bản vá nào cho CVE-2026-109618 trên các nhánh đã hết vòng đời.

Lời khuyên cho lập trình viên và doanh nghiệp Việt Nam

Nhiều hệ thống web tại Việt Nam, đặc biệt là các website doanh nghiệp nhỏ, blog và nền tảng thương mại điện tử nội địa, vẫn đang chạy PHP 7.x hoặc thấp hơn trên các máy chủ VPS tự quản lý. Đây là nhóm đối tượng có nguy cơ cao nhất, bởi vừa không có bản vá vừa thiếu lớp bảo vệ như WAF.

Các nhóm kỹ thuật nên ưu tiên:

• Kiểm tra ngay phiên bản PHP đang chạy bằng lệnh php -v hoặc thông qua trang quản trị hosting
• Lên kế hoạch nâng cấp lên ít nhất PHP 8.2 trở lên, ưu tiên bản vá mới nhất
• Rà soát log máy chủ để phát hiện dấu hiệu khai thác bất thường
• Cân nhắc dùng WAF hoặc các dịch vụ bảo vệ biên như Cloudflare, AWS WAF để có thêm lớp phòng thủ

Thông tin chi tiết và bản cập nhật mới nhất có thể theo dõi tại Security Center của Amazon Linux và trang chủ bảo mật của PHP. Các câu hỏi liên quan đến bảo mật có thể gửi về địa chỉ [email protected].