PHP2Shell: Lỗ hổng nghiêm trọng trong PHP bị rò rỉ, nguy cơ khai thác hàng loạt

Thông tin chi tiết về hai lỗ hổng nghiêm trọng trong PHP với tên gọi PHP2Shell đã bị rò rỉ trực tuyến trước thời điểm công bố chính thức và phát hành bản vá. Cả hai lỗ hổng đều có điểm CVSS 9.2 và có thể bị khai thác mà không cần xác thực, dẫn đến thực thi mã từ xa (RCE). Các chuyên gia bảo mật cảnh báo nguy cơ khai thác hàng loạt có thể diễn ra rất nhanh sau khi bản vá xuất hiện.

Chi tiết về hai lỗ hổng

Hai lỗ hổng được theo dõi với mã CVE-2026-109618 và CVE-2026-109619. Theo đánh giá dựa trên điểm CVSS, cả hai đều có thể bị khai thác mà không cần xác thực, theo CERT-EU.

Biểu tượng bảo mật và lỗ hổng phần mềm

Các thông tin công khai hiện chưa tiết lộ nguyên nhân gốc, thành phần bị ảnh hưởng hay đường tấn công cụ thể. Tuy nhiên, một báo cáo cho rằng CVE-2026-109618 là lỗi use-after-free — một dạng lỗi bộ nhớ nguy hiểm thường bị lợi dụng để chiếm quyền điều khiển hệ thống.

Tên gọi PHP2Shell ám chỉ khả năng kẻ tấn công có thể lợi dụng các lỗ hổng này để giành được shell trên các máy chủ bị ảnh hưởng. Theo các báo cáo, tất cả các phiên bản PHP từ 5 trở lên đều có thể bị ảnh hưởng — một phạm vi cực kỳ rộng, bởi PHP vẫn là nền tảng backend phổ biến cho phần lớn website và ứng dụng web hiện nay.

Lịch trình vá và cảnh báo từ PHP

Vào thứ Ba, đội ngũ PHP thông báo kế hoạch phát hành bản vá cho cả hai lỗ hổng vào thứ Tư, ngày 21/10/2026 lúc 14:00 UTC (tức 21:00 giờ Việt Nam). Nhóm phát triển kêu gọi tất cả người dùng chuẩn bị sẵn sàng để nâng cấp ngay khi bản phát hành có mặt.

"Tất cả người dùng PHP được khuyến khích chuẩn bị ngay từ bây giờ để có thể nâng cấp ngay khi bản phát hành có mặt."

Đội ngũ PHP cũng lưu ý rằng bản vá có thể được phát hành sớm hơn dự kiến nếu thông tin kỹ thuật về các lỗ hổng bị công bố hoặc xuất hiện bằng chứng về việc khai thác trong thực tế.

Minh họa về mối đe dọa an ninh mạng

Giới nghiên cứu xác nhận lỗ hổng là thật

Công ty quản lý rủi ro lộ diện WatchTowr cho biết đã tái hiện thành công CVE-2026-109618, nhưng từ chối chia sẻ thêm thông tin kỹ thuật cho đến khi bản vá được phát hành.

"Vì lý do nhạy cảm, chúng tôi chưa thể chia sẻ thông tin kỹ thuật ở thời điểm này, nhưng chúng tôi có thể xác nhận rằng các lỗ hổng này là có thật," Benjamin Harris, CEO của WatchTowr, cho biết.

Cả WatchTowr và Huntress đều cho biết chưa ghi nhận trường hợp hai lỗ hổng bị khai thác trong thực tế. Tuy nhiên, theo Sansec, khả năng khai thác hàng loạt có thể bắt đầu chỉ trong vòng 15 phút sau khi bản vá được phát hành.

Điều này có ý nghĩa gì với người dùng và doanh nghiệp Việt Nam?

Với việc PHP hiện diện trên phần lớn các website, máy chủ hosting và ứng dụng web — từ các CMS như WordPress, Drupal đến các hệ thống nội bộ của doanh nghiệp — mức độ ảnh hưởng của PHP2Shell là rất lớn.

• Quản trị viên hệ thống cần theo dõi sát lịch phát hành bản vá của PHP và lên kế hoạch nâng cấp ngay khi có bản phát hành chính thức.
• Các nhà cung cấp hosting và cloud tại Việt Nam nên chuẩn bị quy trình cập nhật khẩn cấp cho hạ tầng dùng chung.
• Đội ngũ bảo mật nên rà soát các hệ thống chạy PHP và theo dõi dấu hiệu bất thường trong thời gian chờ bản vá.
• Các doanh nghiệp dùng dịch vụ thuê ngoài cần liên hệ nhà cung cấp để xác nhận lịch vá và mức độ ảnh hưởng.

Logo SecurityWeek

Trước đó, các sự cố tương tự như Plex2Shell đã cho thấy kẻ tấn công có thể vũ khí hóa lỗ hổng chỉ vài giờ sau khi thông tin được công bố. Với PHP2Shell, khi thông tin đã bị rò rỉ từ trước, khoảng thời gian "cửa sổ nguy hiểm" có thể còn ngắn hơn nữa. Bài học rút ra rất rõ ràng: chuẩn bị trước quy trình vá khẩn cấp là yếu tố then chốt trong bối cảnh các lỗ hổng nghiêm trọng ngày càng xuất hiện dày đặc.

Kết luận

PHP2Shell là một trong những sự cố bảo mật đáng chú ý nhất trong năm 2026 đối với cộng đồng phát triển web. Việc thông tin bị rò rỉ trước thời hạn làm tăng đáng kể áp lực lên cả nhóm phát triển PHP và cộng đồng quản trị hệ thống. Người dùng PHP được khuyến nghị cập nhật ngay khi bản vá chính thức ra mắt và không nên trì hoãn, bất kể môi trường là máy chủ sản xuất hay môi trường phát triển.