Tóm tắt nhanh
- PHP Group báo trước bản vá khẩn cho hai lỗ hổng CVE-2026-109618 và CVE-2026-109619, cùng điểm CVSS v4.0 là 9,2/10. Bản vá dự kiến phát hành lúc 14:00 UTC ngày 21/10/2026, tức 21:00 giờ Việt Nam.
- CERT-EU cho biết hai lỗi có thể cho phép thực thi mã từ xa mà không cần xác thực.
- Lỗ hổng nằm ở tầng PHP trên máy chủ, nên cập nhật riêng WordPress, Drupal hay Joomla chưa đủ để xử lý.
- Sansec ước tính khai thác hàng loạt có thể bắt đầu trong vòng 15 phút sau khi bản vá ra mắt. Đây là ước tính của hãng bảo mật, chưa có dữ liệu đo đạc công khai.
Lỗ hổng nằm ở tầng nào, và vì sao CMS không tự vá được
Điều đáng chú ý nhất nằm ở vị trí của lỗi, không chỉ ở cái tên “PHP2Shell” mà các báo đang dùng. WordPress, Drupal, Joomla và Magento đều là phần mềm chạy trên PHP. Khi lỗi nằm trong bộ thông dịch PHP trên máy chủ, mọi trang web dùng chung runtime đó đều chịu rủi ro, bất kể bản WordPress đã cập nhật hay chưa. Cập nhật WordPress không nhất thiết xử lý lỗ hổng nằm trong PHP bên dưới.
Với người quản trị, việc đầu tiên là kiểm tra phiên bản PHP đang chạy trên máy chủ hoặc hosting, chứ không chỉ kiểm tra core và plugin. Với hosting dùng chung, người quyết định thời điểm vá thường là bên cung cấp hosting, nên nên hỏi họ trước khi chờ bản vá.
Thời gian vá rất ngắn, và chi tiết đã rò rỉ trước bản chính thức
PHP Group đã thông báo từ ngày 20/10 rằng bản vá sẽ phát hành lúc 14:00 UTC ngày 21/10 và khuyến nghị người dùng chuẩn bị sẵn để nâng cấp ngay khi có bản chính thức. Nhóm cũng cho biết có thể phát hành sớm hơn nếu chi tiết lỗ hổng bị công bố hoặc có dấu hiệu khai thác ngoài thực tế. Chi tiết kỹ thuật, phiên bản bị ảnh hưởng và các bản sửa cụ thể sẽ đi kèm bản phát hành.
Chi tiết đã rò rỉ trước thời điểm đó làm áp lực tăng thêm. WatchTowr cho biết đã tái hiện được CVE-2026-109618, nhưng chưa chia sẻ kỹ thuật cho tới khi có bản vá. WatchTowr và Huntress chưa thấy hai lỗ hổng này bị khai thác ngoài thực tế.
Phiên bản nào bị ảnh hưởng vẫn chưa được xác nhận đầy đủ
CERT-EU viết rằng hai lỗ hổng có thể ảnh hưởng mọi phiên bản PHP từ PHP 5 trở đi, và dẫn một bài đăng công khai làm nguồn cho nhận định này. PHP Group thì chưa nêu danh sách phiên bản; họ hẹn công bố cùng bản phát hành. Phần mô tả kỹ thuật cũng chưa có: các báo cáo công khai chưa nêu thành phần lỗi hay đường tấn công, chỉ có một báo cáo đoán đây là lỗi use-after-free.
Điểm này làm các nhánh PHP cũ khó xử lý nhất. Nếu máy chủ đang chạy một nhánh đã hết hỗ trợ, việc hỏi nhà cung cấp hosting hoặc đơn vị phân phối xem họ có bản vá hay không là bước cần làm ngay. Các nguồn hiện có chưa trả lời câu hỏi này cho từng nhánh cụ thể.
Việc nên làm trước 14:00 UTC
CERT-EU khuyên tổ chức xác định các ứng dụng đang chạy PHP và chuẩn bị vá ngay khi có phiên bản sửa lỗi. Nếu chưa vá được, nên tách các ứng dụng hướng Internet khỏi mạng công cộng cho đến khi có bản sửa.
Cloudflare, qua CTO Dane Knecht, cho biết đang ghi nhận các đợt tấn công sớm và triển khai quy tắc WAF cập nhật để chặn. Quy tắc tường lửa chỉ là biện pháp tạm thời, không thay được bản vá PHP.
Nguồn tham khảo: PHP.net, Upcoming Critical PHP Security Release; CERT-EU, Security Advisory 2026-018; SecurityWeek; Wccftech
