PHP sửa lỗi khẩn cấp: chỉ cập nhật WordPress có thể chưa đủ

Ngày 21/10, dự án PHP phát hành bản sửa khẩn cấp cho hai lỗ hổng có thể cho phép chạy mã mà không cần đăng nhập.

Mức phơi nhiễm tùy cấu hình và đường thực thi; điều này không có nghĩa mọi trang dùng PHP đều đã bị xâm nhập.

Lỗi nằm ở nền tảng bên dưới ứng dụng

WordPress và các dịch vụ tương tự chạy trên môi trường PHP. PHP2Shell liên quan đến quản lý bộ nhớ và xử lý lỗi của nền tảng này. Khi xử lý yêu cầu gặp lỗi, PHP có thể dùng sai dữ liệu chưa hoàn chỉnh hoặc vùng nhớ đã giải phóng. Vì vậy, cập nhật giao diện, tiện ích hay WordPress không đồng nghĩa PHP cũng được cập nhật.

Những phiên bản nào đã được sửa?

Bản sửa đầu tiên của các nhánh còn hỗ trợ là 8.2.35, 8.3.36, 8.4.27 và 8.5.12. Hai mã nhận diện là CVE-2026-109618 và CVE-2026-109619. Nhà phân phối có thể đưa bản vá vào gói vẫn mang số phiên bản cũ. Hãy hỏi nhà cung cấp hosting về thông báo sửa cả hai lỗi và PHP thực sự xử lý yêu cầu web.

Tường lửa chỉ là một lớp bổ sung

Cloudflare cho biết đã quan sát các lần thử tấn công trong lưu lượng khách hàng và triển khai biện pháp giảm thiểu. Lưu lượng tấn công không chứng minh mọi lần thử đều thành công. Công ty cũng tham gia phối hợp công bố nên không hoàn toàn tách rời nghiên cứu. Quan sát riêng là nguồn kiểm chứng bổ sung, còn tường lửa không thay thế bản vá PHP.

Quản trị viên nên kiểm tra gì tiếp theo?

Cần kiểm tra tương thích, sao lưu, cài gói đã sửa và khởi động lại máy chủ web, PHP-FPM cùng các tiến trình chạy lâu có liên quan. PHP trên dòng lệnh có thể khác PHP của website. Người truy cập thông thường không thể xác định tình trạng vá lỗi chỉ bằng cách mở trang. Nên theo dõi khuyến cáo chính thức của PHP và lịch sử gói của hosting; bài viết không kết luận website cụ thể nào đã bị xâm nhập.

Nguồn gốc và kiểm chứng độc lập

Nguồn gốc: PHP Foundation nêu bản sửa, điều kiện ảnh hưởng, hai mã CVE và quá trình công bố: PHP Foundation · 2026-10-21

Kiểm chứng bổ sung: quan sát lưu lượng khách hàng và giảm thiểu; có tham gia công bố, không hoàn toàn tách rời nghiên cứu: Cloudflare · 2026-10-21

Khuyến cáo nhóm nghiên cứu: bản sửa và cập nhật/khởi động lại môi trường; không đăng lại cách tấn công: PHP2Shell · research advisory

Đọc bằng ngôn ngữ khác

한국어 · English · Español · 日本語 · Tiếng Việt