Lỗ hổng PHP thứ ba trong chuỗi PHP2Shell xuất hiện nhưng không được vá khẩn cấp

Giữa lúc hỗn loạn xoay quanh chuỗi lỗ hổng PHP2Shell vẫn chưa lắng xuống, các nhà nghiên cứu đã tìm ra lỗ hổng PHP thứ ba có thể cho phép kẻ tấn công chiếm quyền điều khiển website hoặc chạy mã độc từ xa trên các hệ thống bị ảnh hưởng. Điểm khác biệt là lỗ hổng này sẽ không được vá khẩn cấp.

Vì sao không cần xử lý khẩn?

Theo PHP Foundation, tổ chức này đã đăng ký mã định danh CVE-2026-115560 cho lỗ hổng RCE thứ ba, nằm cùng nhóm với hai lỗ hổng trước đó tạo nên PHP2Shell. Tuy nhiên, bản tư vấn đầy đủ và phần mềm đã sửa lỗi sẽ chỉ được phát hành trong bản cập nhật PHP định kỳ tiếp theo.

Bà Elizabeth Barron, giám đốc điều hành PHP Foundation, cho biết lỗ hổng mới đòi hỏi một tổ hợp cấu hình và mã ứng dụng PHP rất đặc thù, gần như không thể xảy ra trong thực tế. Bà khẳng định vấn đề có thể được xử lý bằng một thiết lập cấu hình đơn giản, nên đội ngũ bảo mật PHP hiện chỉ công bố một thông báo mang tính thông tin trên website chính thức.

Cụ thể, thông báo này khuyến nghị người dùng đặt session.upload_progress.enabled=0 cho đến bản vá sửa lỗi định kỳ tiếp theo. Để khai thác được lỗ hổng, ứng dụng phải thiết lập session.serialize_handler thành php_binary hoặc php_serialize trong cấu hình, sau đó chuyển sang php ngay lúc chạy bằng ini_set() trước khi gọi session_start(), đồng thời phải bật tính năng theo dõi tiến trình tải lên của phiên làm việc.

Bối cảnh chuỗi lỗ hổng PHP2Shell

Hai lỗ hổng trước đó là CVE-2026-109618 và CVE-2026-109619, gộp chung dưới tên PHP2Shell, đều là các lỗi an toàn bộ nhớ trong PHP, ngôn ngữ lập trình mã nguồn mở đang vận hành khoảng 70% website có sử dụng ngôn ngữ phía máy chủ. PHP Foundation đã chính thức công bố và vá cả hai lỗi này hồi thứ Tư.

Dù có nhiều báo cáo về các nỗ lực khai thác hàng loạt, cùng nhiều mã khai thác chứng minh khái niệm (PoC) xuất hiện cả trước lẫn sau khi công bố CVE, tính đến thứ Sáu vẫn chưa có trường hợp tấn công thành công nào được xác nhận công khai do PHP2Shell gây ra.

"Chúng tôi không có bằng chứng về việc khai thác thành công hai lỗ hổng hôm thứ Tư trước khi công bố, và hiện cũng không có bằng chứng về bất kỳ khai thác nào trên các phiên bản PHP đã được vá", bà Barron cho biết.

Cảnh báo vẫn không nên chủ quan

Dù vậy, giới nghiên cứu bảo mật vẫn khuyến cáo các quản trị viên hệ thống không nên lơi là. Ông Charles Carmakal, giám đốc công nghệ của Mandiant (thuộc Google Cloud), nhận định trên LinkedIn rằng có nhiều PoC đang lan truyền trên mạng, trong đó không ít là mã do AI tạo ra một cách "vibe-coded" và không có khả năng thực thi mã từ xa.

Tuy nhiên, ông cũng xác nhận đã kiểm chứng được một số PoC có khả năng RCE thật đối với các triển khai mặc định của mod_php, dù không hiệu quả với PHP-FPM.

• Hiện chưa có khai thác quy mô lớn được xác nhận, nhưng nguy cơ vẫn hiện hữu và rất nghiêm trọng.
• Các website dùng PHP nên rà soát cấu hình phiên làm việc và cập nhật bản vá ngay khi có.
• Nhóm vận hành hạ tầng tại Việt Nam, đặc biệt là các đơn vị dùng PHP cho hệ thống nội bộ hoặc website doanh nghiệp, nên theo dõi chặt chẽ các thông báo từ PHP Foundation.

Với đặc thù nhiều hệ thống web tại Việt Nam vẫn chạy trên nền PHP truyền thống, việc chủ động áp dụng cấu hình giảm thiểu và chuẩn bị kế hoạch vá lỗi là bước đi cần thiết để tránh rơi vào tầm ngắm của các chiến dịch khai thác tự động.