Hai lỗ hổng PHP bị lộ trước giờ vá: máy chủ cũ đối mặt nguy cơ lớn

Nhóm bảo mật PHP dự kiến phát hành bản vá cho hai lỗ hổng nghiêm trọng lúc 14:00 UTC ngày 21/10, sau khi thông tin về chúng bị rò rỉ trước lịch công bố. Điểm đáng lo với nhiều website không nằm riêng ở mức CVSS 9.2, mà ở khoảng cách giữa máy chủ còn được hỗ trợ và lượng cài đặt PHP đã hết vòng đời.

Thông tin rò rỉ khiến lịch công bố phải tiến lên

PHP xác nhận có hai lỗ hổng nghiêm trọng và chấm mỗi lỗ hổng 9.2 theo CVSS v4.0. Thông báo của dự án ban đầu đặt giờ phát hành vào 14:00 UTC ngày 21/10, đồng thời nói rõ có thể phát hành sớm hơn nếu chi tiết bị công khai hoặc xuất hiện dấu hiệu khai thác.

Hai mã CVE-2026-109618 và CVE-2026-109619 cùng tên gọi PHP2Shell được các nhà nghiên cứu bảo mật nhắc đến trong quá trình rò rỉ. PHP chưa công bố chi tiết kỹ thuật trước khi phát hành bản sửa lỗi, nên chưa thể kết luận chính xác điều kiện khai thác hoặc toàn bộ phiên bản bị ảnh hưởng. Con số CVSS 10.0 từng xuất hiện trong bài đăng rò rỉ không phải mức điểm do PHP công bố.

Đây là khác biệt quan trọng khi đánh giá mức độ khẩn cấp: điểm 9.2 là xác nhận chính thức, còn những tuyên bố về phạm vi ảnh hưởng rộng hơn vẫn cần đợi thông báo kỹ thuật đi kèm bản vá. Trong lúc đó, việc chuẩn bị hệ thống có giá trị hơn suy đoán cách lỗ hổng hoạt động.

Nhánh PHP hết hỗ trợ sẽ không có bản vá chính thức

Bốn nhánh PHP 8.2, 8.3, 8.4 và 8.5 còn nằm trong danh sách hỗ trợ và có thể nhận cập nhật bảo mật. Các bản cũ hơn như 8.1, 8.0, 7.x và 5.x đã hết vòng đời, đồng nghĩa dự án PHP không phát hành bản sửa lỗi cho chúng.

Khoảng 884.000 máy chủ hướng ra Internet được công ty bảo mật Mallory đếm qua banner HTTP có dấu hiệu chạy PHP 8.1 trở xuống, theo dữ liệu Shodan ngày 20/10. Con số này không xác nhận từng máy chủ có bị lỗ hổng tác động hay không; nó cho thấy quy mô thiết bị có thể không nhận được bản vá từ nhà phát triển nếu phạm vi ảnh hưởng bao gồm các nhánh cũ.

Với website đặt trên hosting hoặc VPS, chủ website thường không trực tiếp quản lý gói PHP trên máy chủ. Quản trị viên cần xác định nhà cung cấp cập nhật ở tầng hệ thống hay yêu cầu khách hàng tự đổi phiên bản trong control panel. Một bản vá có sẵn nhưng chưa được áp dụng vào đúng môi trường vẫn để website tiếp tục chạy phiên bản dễ tổn thương.

Ưu tiên kiểm kê và cập nhật máy chủ đang mở Internet

Trước giờ phát hành, quản trị viên nên lập danh sách mọi nơi có cài PHP, kể cả ứng dụng đi kèm thiết bị, phần mềm Windows và các bảng điều khiển như cPanel hoặc Plesk. Sau khi bản cập nhật xuất hiện, cần kiểm tra gói vá do bản phân phối Linux hoặc nhà cung cấp hosting cung cấp; một số hệ thống có thể nhận bản sửa lỗi được backport mà không đổi số phiên bản theo cách dễ nhận biết.

Máy chủ chạy nhánh đã hết hỗ trợ cần được ưu tiên xử lý. Nếu chưa thể nâng cấp ngay, hãy giảm khả năng tiếp cận từ Internet bằng cách tạm ngắt dịch vụ công khai, đặt ứng dụng sau VPN hoặc dùng tường lửa ứng dụng web như một lớp giảm thiểu tạm thời. WAF không thay thế bản vá và không bảo đảm chặn được mọi cách khai thác, vì vậy không nên xem đây là giải pháp lâu dài.

Trong môi trường Việt Nam, nhiều website doanh nghiệp nhỏ giao phần vận hành cho nhà cung cấp hosting. Khi đó, yêu cầu cụ thể nên gồm phiên bản PHP đang chạy, thời điểm áp dụng bản vá cho từng máy chủ và phương án cách ly nếu gói dịch vụ đang dùng phiên bản hết hỗ trợ. Câu trả lời chung chung rằng “máy chủ đã được bảo vệ” không cho biết hệ thống có được nâng cấp hay chỉ đang dựa vào một lớp lọc lưu lượng.

Theo dõi tiến trình PHP để phát hiện dấu hiệu bất thường

Nếu đội vận hành có công cụ giám sát tiến trình, hãy chú ý khi php-fpm, php-cgi, httpd hoặc apache2 bất ngờ khởi chạy shell, trình thông dịch hay công cụ tải tệp. Đây là tín hiệu cần điều tra, không phải bằng chứng độc lập rằng máy chủ đã bị xâm nhập; một số ứng dụng hợp lệ cũng có thể gọi tiến trình con.

Công cụ ghi lại tiến trình PHP khởi chạy có thể giúp lần theo hoạt động sau khi nó xảy ra, nhưng không tự ngăn lệnh nguy hiểm chạy. Nếu phát hiện dấu hiệu xâm nhập, nên cô lập máy chủ, giữ lại log web và PHP, rồi kiểm tra web shell, tệp mới trong thư mục web, tác vụ định kỳ và tài khoản vừa được tạo. Việc xóa tệp đáng ngờ ngay lập tức mà không lưu bằng chứng có thể làm mất dữ liệu cần thiết để xác định phạm vi sự cố.

Đến thời điểm các nguồn đăng trước giờ phát hành, chưa có báo cáo khai thác được xác nhận. Tuy vậy, khi chi tiết kỹ thuật được công bố, các nhóm tấn công có thể nhanh chóng chuyển thông tin đó thành công cụ dò tìm máy chủ chưa vá. Bản cập nhật chính thức và thông tin về phiên bản bị ảnh hưởng sẽ quyết định bước xử lý tiếp theo cho từng hệ thống.

Nguồn tham khảo: The PHP Group; The Hacker News; BleepingComputer; PC Gamer.