PHP cáo buộc Chainguard làm lộ lỗ hổng nghiêm trọng, đe dọa hàng loạt website toàn cầu

Căng thẳng giữa cộng đồng mã nguồn mở và các công ty bảo mật chuỗi cung ứng phần mềm vừa leo thang khi đội ngũ phát triển PHP cáo buộc Chainguard phá vỡ thỏa thuận công bố lỗ hổng có phối hợp. Hai lỗ hổng mang tên PHP2shell ảnh hưởng đến gần như mọi phiên bản PHP trong thập kỷ qua, và việc bản vá bị phát hành sớm có thể đã mở đường cho kẻ tấn công.

Diễn biến của sự việc

Theo blog của Quỹ PHP, mọi chuyện bắt đầu vào khoảng 15:00 UTC ngày thứ Ba, khi hai mã CVE bắt đầu lan truyền trên các diễn đàn trực tuyến và mạng xã hội, kèm theo thông tin sai lệch về thời điểm phát hành và mức độ nghiêm trọng. Dù chưa có chi tiết kỹ thuật nào bị rò rỉ, những tin đồn này buộc nhóm duy trì PHP phải công bố cảnh báo sớm và đẩy lịch công bố chính thức lên một ngày.

Sau đó ít lâu, một công ty nghiên cứu được cho là đã vô tình công bố video trình diễn khai thác (proof-of-concept) cùng một số thông tin hạn chế về lỗ hổng. Đến 07:41 UTC ngày 21/10, tức hơn sáu giờ trước thời điểm công bố phối hợp, Chainguard đã đơn phương phá vỡ lệnh cấm công bố thông tin và phát hành các bản dựng đã vá lỗi.

"Giống như các nhà phân phối khác, Chainguard đã nhận được bản vá trước để người dùng có thể cập nhật ngay khi lỗ hổng được công bố. Bất kỳ kẻ tấn công nào cũng có thể nghiên cứu bản vá dưới dạng nhị phân trong khi mọi người dùng PHP khác vẫn đang chờ đợi", blog của Quỹ PHP viết.

Phản hồi từ phía Chainguard

CEO Dan Lorenc thừa nhận với báo giới về mốc thời gian nhưng phủ nhận việc làm rò rỉ thông tin. Theo ông, Chainguard biết có "điều gì đó sắp xảy ra với PHP" từ thứ Sáu, và nhóm của ông đã độc lập tìm ra cùng những lỗ hổng hỏng bộ nhớ này bằng mô hình AI, chỉ với một câu lệnh cơ bản là "tìm các lỗ hổng nghiêm trọng trong PHP".

Lorenc cho biết các bản vá "cực kỳ phức tạp" và nhóm PHP thực sự đã mất nhiều tháng để hoàn thiện. Khi tin đồn lan rộng và có dấu hiệu khai thác thực tế, ông quyết định phát hành bản sửa lỗi.

"Đó là công bố lỗ hổng có phối hợp, trừ khi có bằng chứng về việc khai thác đang diễn ra trên thực tế. Mọi người đang bị tấn công trước khi thông tin chính thức được công bố, nên chúng tôi đưa ra quyết định phát hành bản vá", Lorenc giải thích.

Ông cũng tiết lộ các honeypot của Chainguard đã ghi nhận địa chỉ IP từ Trung Quốc và Nga nhắm vào các lỗ hổng này trong ngày thứ Tư.

Mức độ nguy hiểm của PHP2shell

Các lỗ hổng được theo dõi với mã CVE-2026-109618 và CVE-2026-109619, đều liên quan đến cách PHP xử lý bộ nhớ và lỗi, dẫn đến khả năng thực thi mã từ xa (RCE).

• CVE-2026-109618 lợi dụng lỗi hỏng bộ nhớ khi tiến trình chạm giới hạn bộ nhớ vào đúng thời điểm bất thường, khiến PHP để lại dữ liệu nội bộ chưa khởi tạo đầy đủ và sau đó coi đó là hợp lệ.
• CVE-2026-109619 khai thác trạng thái cũ (stale state) khi lỗi nghiêm trọng xảy ra, khiến tiến trình xử lý sau đó sử dụng vùng bộ nhớ đã giải phóng của yêu cầu trước.

Theo các nhà nghiên cứu, mọi phiên bản PHP phát hành trong thập kỷ qua, kể từ phiên bản 5.4, đều bị ảnh hưởng bởi ít nhất một trong hai lỗ hổng. Kẻ tấn công có thể khai thác từ xa, trong một số trường hợp khá dễ dàng.

"Khai thác thành công có thể cho phép kẻ tấn công chiếm quyền điều khiển máy chủ, đánh cắp dữ liệu nhạy cảm và chỉnh sửa nội dung các website", nhóm nghiên cứu cảnh báo.

Với việc PHP vận hành khoảng 70% website trên thế giới, đây được xem là một trong những sự cố bảo mật nghiêm trọng nhất trong thời gian gần đây. Giới chuyên gia khuyến nghị cập nhật bản vá ngay lập tức, đặc biệt với các hệ thống chạy Apache kết hợp mod_php.

Góc nhìn cho người dùng và doanh nghiệp Việt Nam

Sự việc này là lời cảnh tỉnh cho các đơn vị vận hành hệ thống dùng PHP tại Việt Nam — từ website doanh nghiệp, nền tảng thương mại điện tử đến các hệ thống nội bộ lâu năm chạy trên phiên bản PHP cũ. Những hệ thống legacy không còn được hỗ trợ vá lỗi đang đối mặt rủi ro cao nhất.

Bên cạnh đó, câu chuyện cũng phản ánh một xu hướng mới: các mô hình AI có thể tìm ra lỗ hổng nghiêm trọng chỉ trong vài giờ, kể cả khi không có thông tin chi tiết. Điều này khiến khoảng thời gian từ lúc phát hiện đến lúc khai thác bị rút ngắn đáng kể, đòi hỏi các tổ chức phải có quy trình cập nhật bảo mật nhanh và chủ động hơn bao giờ hết.

"Tôi nghĩ đây là trạng thái bình thường mới. Người ta có thể tạo ra một công cụ khai thác trong vài giờ mà thậm chí không biết lỗ hổng là gì", Lorenc nhận định.