Việc phát hiện hai lỗ hổng PHP nghiêm trọng, gọi chung là PHP2Shell, cho thấy một thách thức đối với doanh nghiệp: ngay cả những ứng dụng được phát triển an toàn vẫn có thể bị đe dọa thông qua các công nghệ nền tảng mà chúng phụ thuộc.
Ngày 21 tháng 10 năm 2026, dự án PHP đã phát hành bản vá cho CVE-2026-109618 và CVE-2026-109619. Cả hai đều được chấm điểm CVSS v4.0 là 9,2 (Nghiêm trọng). Trong một số điều kiện nhất định, kẻ tấn công có thể thực thi mã từ xa trên máy chủ có lỗ hổng mà không cần xác thực. Việc khai thác thành công có thể ảnh hưởng đến dữ liệu nhạy cảm, tính toàn vẹn của hệ thống và tính sẵn sàng của các dịch vụ trọng yếu đối với hoạt động kinh doanh.
Dù việc vá lỗi khẩn cấp là điều thiết yếu, PHP2Shell còn cho thấy lý do bảo mật ứng dụng cần vượt ra ngoài phạm vi mã nguồn.
Điều gì đã xảy ra với PHP2Shell?
PHP2Shell ảnh hưởng đến chính môi trường thực thi PHP, chứ không phải lỗi trong mã của một ứng dụng cụ thể. Vì vậy, chỉ áp dụng các phương pháp lập trình an toàn là không đủ để bảo vệ một website đang chạy phiên bản PHP có lỗ hổng.
Các môi trường PHP xử lý yêu cầu web — bao gồm PHP-FPM, Apache với mod_php và php-cgi — có thể bị ảnh hưởng. Các website và ứng dụng sử dụng WordPress, Laravel, CakePHP hoặc EC-CUBE nên kiểm tra bản cài đặt PHP nền tảng.
Các phiên bản vá lỗi phát hành ngày 21 tháng 10:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Các tổ chức nên tham khảo thông báo bảo mật chính thức của PHP và nhanh chóng áp dụng bản cập nhật phù hợp.
PHP 8.1 và các phiên bản cũ hơn không còn nhận bản cập nhật bảo mật tiêu chuẩn từ dự án PHP. PHP 8.2 sẽ kết thúc hỗ trợ bảo mật vào ngày 31 tháng 12 năm 2026, vì vậy việc lập kế hoạch chuyển đổi càng trở nên quan trọng.
Vấn đề không chỉ dừng lại ở PHP
Ứng dụng doanh nghiệp phụ thuộc vào framework, môi trường thực thi ngôn ngữ lập trình, cơ sở dữ liệu, hệ điều hành, thư viện và dịch vụ cloud. Lỗ hổng trong các thành phần này có thể khiến những ứng dụng vốn được phát triển tốt vẫn bị đe dọa.
Thách thức càng lớn khi tổ chức quản lý nhiều ứng dụng trên các môi trường hosting khác nhau hoặc phụ thuộc vào đơn vị phát triển bên ngoài. Nếu không có danh mục chính xác về phiên bản phần mềm và phân công trách nhiệm, việc xác định các hệ thống bị ảnh hưởng có thể tốn nhiều thời gian quý báu.
PHP2Shell củng cố một nguyên tắc rộng hơn: bảo mật đòi hỏi khả năng quan sát toàn bộ hệ thống công nghệ, chứ không chỉ phần mã do tổ chức tự phát triển. Ví dụ, một tổ chức có thể sở hữu cổng thông tin khách hàng an toàn nhưng vẫn gặp rủi ro nếu máy chủ vận hành cổng thông tin đó sử dụng môi trường thực thi PHP đã lỗi thời.
Hoạt động nghiên cứu bảo mật có sự hỗ trợ của AI cũng có thể đẩy nhanh việc phát hiện và phân tích lỗ hổng. Mã khai thác đã được công bố công khai vào khoảng thời điểm lỗ hổng được tiết lộ, và các tổ chức bảo mật đã ghi nhận những nỗ lực khai thác lỗ hổng trước khi các phiên bản vá lỗi được phát hành.
Khi lỗ hổng liên tục xuất hiện và thông tin khai thác lan truyền nhanh chóng, các tổ chức cần có quy trình bài bản để đánh giá mức độ ảnh hưởng và ứng phó hiệu quả.
Các tổ chức cần làm gì ngay lúc này?
1. Xác định các hệ thống bị ảnh hưởng
Kiểm tra những website và ứng dụng nào sử dụng PHP, xác nhận phiên bản đã cài đặt và ưu tiên các hệ thống kết nối Internet hoặc trọng yếu đối với hoạt động kinh doanh.
2. Áp dụng bản vá bảo mật
Xem xét hướng dẫn của nhà cung cấp, đánh giá khả năng tương thích và triển khai phiên bản PHP cập nhật phù hợp. Nếu chưa thể vá ngay, hãy làm theo khuyến nghị chính thức về các biện pháp tạm thời, có thể bao gồm giới hạn quyền truy cập, tăng cường giám sát hoặc tạm dừng các dịch vụ bị ảnh hưởng. Biện pháp tạm thời không thể thay thế cho việc vá lỗi.
3. Kiểm tra dấu hiệu xâm phạm
Rà soát log và các bằng chứng hiện có để tìm dấu hiệu truy cập trái phép, đặc biệt với những hệ thống đã bị lộ trước khi được vá. Thay đổi mật khẩu hoặc API key khi kết quả điều tra cho thấy cần thiết. Bản vá không loại bỏ được một cuộc xâm nhập đã xảy ra.
4. Rà soát cấu hình và các thành phần phụ thuộc
Đánh giá thiết lập máy chủ web, các dịch vụ không cần thiết, phần mềm bên thứ ba và trách nhiệm quản lý bản vá để giảm thiểu rủi ro lâu dài.
5. Lập kế hoạch chuyển đổi khỏi các phiên bản không còn được hỗ trợ
Xác định các hệ thống cũ, đánh giá khả năng tương thích của ứng dụng và xây dựng lộ trình chuyển sang phiên bản PHP còn được hỗ trợ. Phân công rõ trách nhiệm cập nhật giữa các nhóm nội bộ, nhà cung cấp hosting và đơn vị phát triển bên thứ ba, đặc biệt khi nhiều bên cùng bảo trì một ứng dụng.
Tích hợp bảo mật vào vòng đời công nghệ
Tại Rikkeisoft, RK Global Cyber (RGC) – công ty chuyên về an ninh mạng của chúng tôi – kết hợp chuyên môn bảo mật chuyên sâu với năng lực kỹ thuật và triển khai của Rikkeisoft.
Các dịch vụ của RGC bao gồm:
- Kiểm thử xâm nhập: Kiểm thử bảo mật web, ứng dụng di động, API, cloud và mạng.
- Tư vấn bảo mật & gia cố hệ thống: Đánh giá bảo mật và gia cố hạ tầng.
- Tình báo mối đe dọa an ninh mạng: Giám sát các mối đe dọa mới nổi và thông tin bị lộ.
- Đánh giá xâm phạm: Truy vết mối đe dọa và điều tra xâm nhập.
- Cung ứng nhân sự bảo mật & BrSE: Nguồn nhân lực an ninh mạng chuyên trách, làm việc onsite và offshore.
Với PHP2Shell, dịch vụ Tư vấn bảo mật & gia cố hệ thống và Đánh giá xâm phạm đặc biệt phù hợp để đánh giá mức độ ảnh hưởng và điều tra các hoạt động đáng ngờ.
Rikkeisoft cũng tiếp nhận yêu cầu hỗ trợ PHP khẩn cấp, bao gồm:
- Đánh giá các hệ thống bị ảnh hưởng, áp dụng bản vá và triển khai biện pháp tạm thời khi cần.
- Điều tra dấu hiệu truy cập trái phép và cập nhật thông tin xác thực khi phù hợp.
- Chuyển đổi khỏi các phiên bản PHP không còn được hỗ trợ, kèm theo kiểm tra vận hành.
Gói hỗ trợ có thể bao gồm đánh giá ban đầu, đề xuất kế hoạch xử lý và báo giá, khắc phục hoặc chuyển đổi, kiểm tra vận hành và báo cáo kết quả.
Hỗ trợ này áp dụng cho cả hệ thống do công ty khác phát triển hoặc do doanh nghiệp tự bảo trì. Các tổ chức vẫn có thể liên hệ ngay cả khi đơn vị phát triển ban đầu không còn hỗ trợ hoặc không rõ phiên bản PHP đang sử dụng.
Khách hàng hiện tại vui lòng liên hệ đầu mối phụ trách tài khoản của mình. Các đơn vị khác có thể sử dụng biểu mẫu liên hệ, kèm theo URL website bị ảnh hưởng, thông tin máy chủ hiện có và mô tả sự cố. Tuyệt đối không gửi mật khẩu, API key hoặc bất kỳ thông tin xác thực bảo mật nào khác.
Tìm hiểu dịch vụ an ninh mạng của RGC:
https://rikkeisoft.com/vi/rk-global-cyber/
Yêu cầu hỗ trợ:
https://rikkeisoft.com/vi/contact-us/
Không chỉ dừng lại ở sự cố trước mắt
PHP2Shell cho thấy phát triển ứng dụng an toàn chỉ là một phần của an ninh mạng. Duy trì phần mềm còn được hỗ trợ, nắm rõ các thành phần phụ thuộc và chuẩn bị quy trình ứng phó lỗ hổng hiệu quả cũng quan trọng không kém trong việc bảo vệ hoạt động kinh doanh.
Rikkeisoft hướng tới việc giúp doanh nghiệp củng cố hệ thống thông qua sự kết hợp đồng bộ giữa chuyên môn kỹ thuật và an ninh mạng.
Thông tin được cập nhật đến ngày 22 tháng 10 năm 2026.
