Câu trả lờiĐã xuất bản21 nguồn
PHP2Shell là gì và vì sao các bản vá được phát hành sớm hơn dự kiến?
PHP2Shell gồm CVE 2026 109618 và CVE 2026 109619, hai lỗ hổng trong lõi PHP có thể dẫn đến thực thi mã từ xa mà không cần xác thực; cả hai được chấm 9,2 theo CVSS v4.0. Calif phát hiện vấn đề trong khuôn khổ chương trình Patch the Planet của OpenAI; Wiz cũng tìm ra lỗ hổng độc lập.
Đăng bởiBiên tập bằng GPT-6 LunaHình ảnh được tạo bằng GPT Image 2
Câu trả lời nghiên cứu
Bài học chính
- PHP2Shell gồm CVE 2026 109618 và CVE 2026 109619, hai lỗ hổng trong lõi PHP có thể dẫn đến thực thi mã từ xa mà không cần xác thực; cả hai được chấm 9,2 theo CVSS v4.0.
- Calif phát hiện vấn đề trong khuôn khổ chương trình Patch the Planet của OpenAI; Wiz cũng tìm ra lỗ hổng độc lập.
- Sau khi thông tin bị công khai ngày 20/10/2026, PHP phát hành bản sửa lỗi ngày 21/10 thay vì lịch dự kiến 22/10.
- Amazon ghi nhận một lần dò tìm hoặc khai thác nhằm vào hệ thống honeypot từ ngày 17/10; đây không đồng nghĩa có bằng chứng về xâm nhập thành công trên diện rộng.
Prompt AI
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell là tên gọi chung của hai lỗ hổng nghiêm trọng trong lõi PHP: CVE-2026-109618 và CVE-2026-109619. Trong một số điều kiện, chúng có thể cho phép kẻ tấn công chạy mã trên máy chủ mà không cần đăng nhập. Cả hai được chấm 9,2 theo CVSS v4.0, thang điểm đánh giá mức độ nghiêm trọng của lỗ hổng. 9
10
Điểm khiến sự việc trở thành một cuộc chạy đua vá lỗi là thông tin về lỗ hổng bị lộ trước lịch công bố. PHP phát hành bản sửa vào ngày 21/10/2026, sớm hơn một ngày so với lịch dự kiến 22/10. 18
24
AI hỗ trợ phát hiện, nhưng không thay thế vai trò của nhà nghiên cứu
Theo các báo cáo, Calif phát hiện những vấn đề này trong tháng 8 thông qua chương trình Patch the Planet của OpenAI; Wiz cũng độc lập tìm ra các lỗ hổng. Các nguồn nêu GPT-5.6 Sol, Wiz Atlas và Gemini 4 Argon trong quá trình nghiên cứu. 18
21
Hai lỗi có nguyên nhân kỹ thuật khác nhau: CVE-2026-109618 liên quan đến hỏng bộ nhớ khi PHP xử lý tình huống hết bộ nhớ; CVE-2026-109619 liên quan đến trạng thái toàn cục cũ còn sót lại. Cả hai có thể dẫn tới thực thi mã từ xa. 7
Các báo cáo mô tả phạm vi ảnh hưởng từ PHP 5.4 trở lên, bao gồm nhiều thế hệ máy chủ PHP xử lý yêu cầu web. Tuy vậy, thông tin hiện có không đủ để xác nhận chính xác lỗ hổng đã tồn tại trong bao lâu hay khẳng định mốc “khoảng 14 năm”. 14
18
Bản vá khẩn cấp và những phiên bản cần lưu ý
PHP phát hành các phiên bản đã sửa lỗi:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Dự án PHP khuyến nghị cập nhật ngay các hệ thống đang phục vụ yêu cầu web. PHP 8.1 trở xuống không còn nhận các bản cập nhật bảo mật định kỳ từ dự án; một số nhà phân phối Linux hoặc nhà cung cấp hỗ trợ dài hạn có thể phát hành bản vá riêng. Vì vậy, đơn vị vận hành cần kiểm tra gói cập nhật của nhà cung cấp đang sử dụng, thay vì mặc định rằng mọi phiên bản cũ đều có cùng tình trạng vá lỗi.
Thông tin bị lộ khiến lịch vá được đẩy sớm
Các chi tiết về PHP2Shell xuất hiện công khai ngày 20/10. Thay vì chờ đến lịch dự kiến ngày 22/10, PHP phát hành bản sửa vào ngày 21/10. Thời điểm này kéo theo phản ứng khẩn trương từ các đội ngũ bảo mật và nhà cung cấp dịch vụ. 18
24
NSA khuyến nghị các tổ chức kiểm kê dịch vụ và thiết bị phụ thuộc vào PHP, sau đó ưu tiên áp dụng bản vá phù hợp. CISA cũng kêu gọi cập nhật ngay; Google, AWS và Microsoft đăng hướng dẫn cho khách hàng. 3
17
18
Hàng triệu hệ thống có thể bị ảnh hưởng không đồng nghĩa đã bị xâm nhập
PHP được ước tính dùng trên khoảng 70% web. Palo Alto Networks cho biết đã xác định hơn 22,6 triệu máy chủ hoặc phiên bản lộ ra Internet có khả năng bị ảnh hưởng. Đây là ước tính về mức độ phơi nhiễm, không phải số hệ thống đã bị xâm nhập. 23
Amazon cho biết dữ liệu từ hệ thống honeypot MadPot ghi nhận một nỗ lực nhắm vào PHP2Shell từ ngày 17/10, bốn ngày trước khi thông tin được công bố rộng rãi. Có báo cáo về các lần dò tìm khác, nhưng nỗ lực tấn công không tự động chứng minh rằng kẻ tấn công đã chiếm được máy chủ hay đánh cắp dữ liệu. 4
Đánh giá về nguy cơ khai thác hàng loạt cũng không hoàn toàn đồng nhất: Sansec cho biết vào ngày 22/10 rằng kịch bản khai thác đại trà có vẻ ít khả năng hơn so với nhận định ban đầu của họ. Các nguồn được cung cấp không xác nhận một làn sóng xâm nhập thành công trên diện rộng. 10
Cảnh báo bổ sung ngày 23/10
Ngày 23/10, PHP thông báo một đường dẫn thực thi mã từ xa ít có khả năng xảy ra trong một tổ hợp cấu hình phiên làm việc không phổ biến, được gắn với CVE-2026-115560. Khuyến nghị tạm thời là đặt session.upload_progress.enabled=0 cho đến bản sửa định kỳ tiếp theo. PHP cho biết một số ứng dụng không cần tắt tính năng này nếu không thay đổi trình xử lý tuần tự hóa khi chương trình đang chạy.
Điểm thực tế cần nhớ vẫn là kiểm kê nơi nào đang chạy PHP, xác định phiên bản và cài bản sửa phù hợp. Một con số lớn về máy chủ có nguy cơ không có nghĩa mọi hệ thống đó đã bị xâm nhập; ngược lại, cũng không nên trì hoãn cập nhật chỉ vì chưa thấy bằng chứng về một vụ xâm nhập cụ thể. 17
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Người ta cũng hỏi
Câu trả lời ngắn gọn cho "PHP2Shell là gì và vì sao các bản vá được phát hành sớm hơn dự kiến?" là gì?
PHP2Shell gồm CVE 2026 109618 và CVE 2026 109619, hai lỗ hổng trong lõi PHP có thể dẫn đến thực thi mã từ xa mà không cần xác thực; cả hai được chấm 9,2 theo CVSS v4.0.
Những điểm chính cần xác nhận đầu tiên là gì?
PHP2Shell gồm CVE 2026 109618 và CVE 2026 109619, hai lỗ hổng trong lõi PHP có thể dẫn đến thực thi mã từ xa mà không cần xác thực; cả hai được chấm 9,2 theo CVSS v4.0. Calif phát hiện vấn đề trong khuôn khổ chương trình Patch the Planet của OpenAI; Wiz cũng tìm ra lỗ hổng độc lập.
Tôi nên làm gì tiếp theo trong thực tế?
Sau khi thông tin bị công khai ngày 20/10/2026, PHP phát hành bản sửa lỗi ngày 21/10 thay vì lịch dự kiến 22/10.