PHP2Shell: Lỗ hổng nghiêm trọng trong lõi PHP đe dọa 70% website toàn cầu

Một nhóm lỗ hổng nghiêm trọng vừa được phát hiện trong lõi ngôn ngữ PHP, có thể cho phép kẻ tấn công chưa xác thực thực thi mã từ xa trên máy chủ hoặc đọc trộm bộ nhớ tiến trình. Với mức điểm CVSS lên tới 9.2, sự cố này ảnh hưởng đến khoảng 70% website trên toàn cầu, trong đó có những nền tảng phổ biến như WordPress, Drupal và MediaWiki.

Biểu tượng nghiên cứu bảo mật PHP2Shell

PHP2Shell là gì?

PHP2Shell là tên gọi chung cho một nhóm lỗ hổng an toàn bộ nhớ trong lõi PHP, được theo dõi dưới hai mã CVE riêng biệt. Điểm đáng chú ý là mã độc nằm ngay trong bản thân PHP chứ không phải trong mã ứng dụng, nghĩa là ngay cả một ứng dụng "Hello World" đơn giản chạy trên phiên bản PHP bị ảnh hưởng cũng có thể bị tấn công.

Hai nhóm lỗ hổng bao gồm:

• CVE-2026-109618: Lỗi hỏng bộ nhớ khi xử lý tình trạng hết bộ nhớ (out-of-memory), cho phép thực thi mã không cần xác thực với quyền của tiến trình PHP.
• CVE-2026-109619: Trạng thái toàn cục cũ (stale global state) tồn tại qua nhiều phiên yêu cầu, có thể kích hoạt lỗi use-after-free để rò rỉ bộ nhớ hoặc thực thi mã.

Nhóm nghiên cứu đã chứng minh khả năng thực thi mã từ xa trước khi xác thực (pre-authentication RCE) trên WordPress, Drupal và Joomla bằng cách sử dụng các image container mới nhất tại thời điểm kiểm thử.

Kẻ tấn công có thể làm gì?

Theo báo cáo từ Wiz Research, các lỗ hổng này mở ra nhiều kịch bản tấn công nguy hiểm:

• Thực thi mã trên máy chủ bị ảnh hưởng mà không cần tài khoản hay xác thực, từ đó chiếm quyền điều khiển server, truy cập dữ liệu nhạy cảm, di chuyển ngang trong hệ thống hoặc thay đổi nội dung website.
• Đọc bộ nhớ tiến trình PHP, nơi có thể chứa mật khẩu, token xác thực, khóa API và chứng chỉ số của các yêu cầu khác hoặc của chính máy chủ.
• Đánh cắp dữ liệu nhạy cảm thông qua rò rỉ bộ nhớ mà không cần đạt được thực thi mã từ xa, khiến hoạt động khó bị phát hiện bởi các công cụ chỉ tập trung vào mã độc.

Điều đáng lo ngại là các cuộc tấn công rò rỉ bộ nhớ có thể diễn ra âm thầm, để lại rất ít dấu vết trong log ứng dụng, bởi các đường dẫn lỗ hổng hoạt động bên dưới lớp ứng dụng.

Phạm vi ảnh hưởng

Nghiên cứu xác định các phiên bản PHP bị ảnh hưởng kéo dài từ PHP 5.4, với gần như mọi phiên bản PHP đều dính ít nhất một lỗi trước khi được vá. Các phần mềm phổ biến chạy trên PHP bao gồm:

• WordPress, Drupal, Joomla, MediaWiki
• Moodle, Nextcloud
• Laravel, Symfony

Minh họa lỗ hổng bảo mật trong hệ sinh thái PHP

Cách khắc phục

Cách duy nhất để khắc phục triệt để là nâng cấp PHP lên phiên bản đã vá trên mọi runtime, sau đó khởi động lại Apache, PHP-FPM và tất cả các tiến trình PHP chạy dài. Việc cập nhật ứng dụng đơn thuần không cập nhật runtime PHP bên dưới.

Các phiên bản cần nâng cấp theo từng nhánh:

• Nhánh 8.2: nâng lên 8.2.35
• Nhánh 8.3: nâng lên 8.3.36
• Nhánh 8.4: nâng lên 8.4.27
• Nhánh 8.5: nâng lên 8.5.12

Bản phát hành chính thức có tại php.net, còn các bản phân phối Linux sẽ cung cấp gói cập nhật qua kênh thường lệ.

Biện pháp tạm thời nếu chưa thể nâng cấp ngay

Nếu chưa thể nâng cấp lập tức, có thể áp dụng một số biện pháp giảm thiểu rủi ro, tuy nhiên không thay thế được bản vá:

• Cân nhắc đặt memory_limit = -1 để tránh một số đường tấn công dựa trên xử lý giới hạn bộ nhớ, nhưng cần dùng cgroup v2 memory.max của Linux để kiểm soát tài nguyên. Tuyệt đối không dùng RLIMIT_AS hay RLIMIT_DATA vì chúng có thể kích hoạt chính các đường lỗi nguy hiểm.
• Giảm post_max_size và max_input_nesting_level phù hợp với nhu cầu thực tế của ứng dụng.
• Tắt session.upload_progress.enabled nếu ứng dụng không phụ thuộc vào tính năng theo dõi tiến trình tải lên.
• Đặt display_errors = 0 trên môi trường production để tránh rò rỉ thông tin qua thông báo lỗi.
• Giảm pm.max_requests của PHP-FPM để tái tạo tiến trình thường xuyên hơn.
• Dùng SELinux hoặc AppArmor để hạn chế quyền hạn của tiến trình PHP.

Vai trò của AI trong nghiên cứu

Đáng chú ý, nhóm Wiz Research đã sử dụng các mô hình AI tiên tiến bao gồm Wiz Atlas, Gemini 4 Argon và GPT-5.6-Sol trong quá trình phát hiện lỗ hổng, phát triển khai thác và kiểm chứng bản vá. Theo nhóm nghiên cứu, các mô hình này giúp phân tích những chuỗi khai thác phức tạp và điều chỉnh chúng cho nhiều môi trường triển khai khác nhau.

Góc nhìn cho người dùng Việt Nam

Với cộng đồng website Việt Nam — nơi WordPress chiếm tỷ trọng rất lớn trong các trang tin, blog và website doanh nghiệp — lỗ hổng này là lời cảnh báo trực tiếp. Nhiều nhà cung cấp hosting trong nước vẫn chạy các phiên bản PHP cũ do lo ngại ảnh hưởng đến mã nguồn cũ của khách hàng.

Cảnh báo bảo mật cho cộng đồng website

Các quản trị viên nên:

• Kiểm tra ngay phiên bản PHP đang chạy trên máy chủ và liên hệ nhà cung cấp hosting để cập nhật.
• Rà soát log tìm các dấu hiệu bất thường như cookie PHPSESSID có kích thước lớn hoặc sai định dạng, các yêu cầu multipart lạ kèm theo lỗi giới hạn bộ nhớ, hoặc hiện tượng tiến trình PHP khởi động lại bất thường.
• Lưu ý rằng tường lửa ứng dụng web (WAF) hay CDN chỉ là biện pháp tạm thời, không thể thay thế việc nâng cấp PHP.

Sự cố PHP2Shell cho thấy một bài học quen thuộc nhưng luôn đúng: lớp hạ tầng càng phổ biến thì lỗ hổng trong đó càng có sức lan tỏa lớn. Việc duy trì cập nhật runtime và hạn chế phụ thuộc vào các phiên bản phần mềm đã lỗi thời cần được xem là ưu tiên thường xuyên, không chỉ khi có cảnh báo.