Tóm tắt nhanh
- Wikipedia gián đoạn khoảng một giờ ngày 21/10/2026; Wikimedia xác nhận wiki gặp trục trặc trong lúc xử lý hai lỗ hổng PHP nghiêm trọng.
- Đây là bảo trì chủ động để vá lỗi, không phải bằng chứng Wikipedia bị DDoS hay máy chủ quá tải.
- Hai lỗi PHP được theo dõi với mã CVE-2026-109618 và CVE-2026-109619; PHP chấm mỗi lỗi 9,2 theo CVSS v4.0.
- Quản trị viên website PHP cần cài bản vá chính thức khi có, không xem WAF hay cấu hình tạm là phương án thay thế.
Wikipedia và một số dịch vụ Wikimedia ngừng truy cập trong khoảng một giờ ngày 21/10 khi Wikimedia Foundation chủ động đưa hệ thống ngoại tuyến để chuẩn bị vá hai lỗ hổng nghiêm trọng trong PHP. Đợt gián đoạn là lựa chọn an toàn của đơn vị vận hành, không phải dấu hiệu máy chủ bị quá tải hay Wikipedia đang bị tấn công từ chối dịch vụ.
Wikimedia chủ động ngắt dịch vụ để xử lý lỗi PHP
Wikimedia Foundation xác nhận các lỗ hổng ảnh hưởng tới PHP, ngôn ngữ nằm dưới phần lớn hạ tầng của tổ chức. Đơn vị này cho biết đã chủ động tắt nhiều dịch vụ hỗ trợ cho tới khi có thể vá an toàn, đồng thời cảnh báo người dùng có thể thấy các wiki ngừng hoạt động trong quá trình xử lý.
Wikipedia chạy trên MediaWiki, phần mềm viết bằng PHP. Khi lỗ hổng nằm ở nền tảng chạy ứng dụng và có thể dẫn tới thực thi mã từ xa, để máy chủ tiếp tục nhận yêu cầu lúc chưa được bảo vệ là rủi ro lớn hơn một đợt ngừng dịch vụ ngắn. Vì vậy, bảo trì khẩn cấp ở đây là biện pháp giảm rủi ro, không phải phản ứng sau khi Wikipedia bị đánh sập.
TechRadar ghi nhận báo cáo lỗi trên Downdetector tăng mạnh từ khoảng 10 giờ 51 phút sáng theo giờ miền Đông Mỹ, với đỉnh hơn 2.000 lượt tại Mỹ và 850 lượt tại Anh. Số báo cáo sau đó giảm về gần 0 khi đợt bảo trì kết thúc, sau khoảng một giờ.
Hai lỗ hổng PHP ảnh hưởng rộng hơn một website
Hai lỗi, mang mã CVE-2026-109618 và CVE-2026-109619 và được gọi chung là PHP2Shell, đều được PHP chấm 9,2 trên thang CVSS v4.0. Đây là lỗi thực thi mã từ xa: trong điều kiện khai thác phù hợp, kẻ tấn công có thể khiến hệ thống chạy mã trái phép. PHP được dùng trên nhiều máy chủ web, nên phạm vi cần rà soát không dừng ở Wikimedia.
Wikimedia cho biết các dịch vụ như Toolforge và Cloud VPS cũng bị đưa ngoại tuyến. Một số dịch vụ do tình nguyện viên quản lý có thể mất lâu hơn để hoạt động lại, vì người vận hành từng dịch vụ phải tự cập nhật trước khi đội ngũ Wikimedia khôi phục.
Các thông tin ban đầu nêu PHP dự kiến phát hành bản vá vào ngày 21/10 lúc 14 giờ UTC. Quản trị viên nên theo dõi thông báo và hướng dẫn chính thức của PHP để chọn đúng phiên bản đã sửa, thay vì dựa vào tin ban đầu.
Website chạy PHP nên ưu tiên bản vá, không dựa riêng vào WAF
Với doanh nghiệp và người quản trị website tại Việt Nam, việc cần làm trước hết là kiểm kê phiên bản PHP trên máy chủ, xác định ứng dụng nào đang phụ thuộc vào nó rồi cài bản cập nhật bảo mật chính thức phù hợp. Điều này áp dụng cho WordPress, hệ quản trị nội dung khác lẫn hệ thống tự phát triển.
Cloudflare đã phát hành bản cập nhật WAF khẩn cấp cho khách hàng, nhưng đó chỉ là lớp bảo vệ tạm thời. Nhà phát triển PHP Gina Peter Banyard cảnh báo trên Mastodon rằng không có biện pháp giảm thiểu nào thay thế được bản vá chính thức, vì vậy chặn một kiểu yêu cầu không thể coi là đã khắc phục lỗ hổng.
Nguồn tham khảo: Wikimedia Foundation · BleepingComputer · TechRadar
