PHP 8.2.35 phát hành khẩn cấp: Vá hai lỗ hổng cho phép thực thi mã từ xa

Nhóm phát triển PHP vừa tung ra bản cập nhật 8.2.35 với mục tiêu duy nhất là vá hai lỗ hổng bảo mật nghiêm trọng. Đây là kiểu bản phát hành mà bất kỳ đội ngũ vận hành nào đang chạy PHP 8.2 cũng cần xử lý ngay, không chờ đến chu kỳ bảo trì định kỳ.

Theo thông báo chính thức, hai lỗ hổng mang mã CVE-2026-109618 và CVE-2026-109619 đều ở mức nghiêm trọng, cho phép kẻ tấn công chưa xác thực thực thi mã từ xa (RCE) trên máy chủ. Nói cách khác, chỉ cần dịch vụ PHP 8.2 bị lộ ra internet là đã nằm trong vùng nguy hiểm.

Không có cách giảm thiểu, chỉ có một lựa chọn an toàn

Điều đáng chú ý trong thông báo lần này là khẳng định rất dứt khoát từ nhóm phát triển:

Không có biện pháp giảm thiểu hoàn chỉnh nào. Cập nhật là lựa chọn an toàn duy nhất.

Với các lỗ hổng RCE cho phép thực thi mã từ xa, việc dựa vào tường lửa ứng dụng web (WAF), giới hạn IP hay các quy tắc tạm thời thường chỉ làm chậm kẻ tấn công chứ không chặn được hoàn toàn. Chi tiết kỹ thuật được ghi trong bản khuyến nghị bảo mật của dự án.

• Phiên bản bị ảnh hưởng: toàn bộ nhánh PHP 8.2 trước bản 8.2.35
• Mức độ: nghiêm trọng, có thể bị khai thác từ xa, không cần xác thực
• Cách khắc phục: nâng cấp lên PHP 8.2.35 hoặc chuyển sang nhánh được hỗ trợ mới hơn

Nhánh 8.2 sắp hết vòng đời

Một điểm cần lưu ý với các đội ngũ đang trì hoãn việc nâng cấp: PHP 8.2 sẽ chính thức hết hỗ trợ (end of life) vào ngày 31/12/2026. Sau mốc đó, nhánh này sẽ không còn nhận bất kỳ bản vá bảo mật nào nữa.

Thực tế là bản 8.2.35 vẫn được phát hành cho thấy nhóm phát triển vẫn duy trì cam kết với nhánh cũ trong thời gian còn hỗ trợ. Nhưng các lỗ hổng kiểu RCE như lần này là lời nhắc rõ ràng: nếu hệ thống còn chạy 8.2 sau năm 2026, mỗi lỗ hổng mới sẽ không còn bản vá để chờ.

Khuyến nghị cho người dùng tại Việt Nam

Với các doanh nghiệp và lập trình viên Việt Nam đang vận hành website, API hay hệ thống nội bộ trên PHP 8.2 — đặc biệt là các hệ thống dùng WordPress, Laravel hay các CMS phổ biến — việc kiểm tra phiên bản và cập nhật nên được ưu tiên trong ngày.

• Kiểm tra phiên bản hiện tại bằng lệnh php -v hoặc qua bảng điều khiển hosting
• Cập nhật lên 8.2.35 ngay, hoặc tốt hơn là lên kế hoạch chuyển sang PHP 8.3 / 8.4 đang được hỗ trợ
• Rà soát log máy chủ để phát hiện dấu hiệu khai thác bất thường trước khi vá
• Với các nhà cung cấp hosting dùng chung, chủ động liên hệ hỗ trợ để xác nhận phiên bản đã được nâng cấp

Bản phát hành có thể tải về từ trang downloads chính thức của PHP, bao gồm cả mã nguồn và gói cài đặt sẵn cho Windows. Danh sách thay đổi chi tiết nằm trong ChangeLog của dự án.