Câu trả lờiĐã xuất bản17 nguồn
PHP2Shell: Hai lỗ hổng nghiêm trọng và việc tổ chức cần làm ngay
PHP2Shell là tên gọi chung của CVE 2026 109618 và CVE 2026 109619, hai lỗ hổng có thể giúp kẻ tấn công chạy mã trên máy chủ PHP mà không cần đăng nhập. PHP được dùng rộng rãi trong website và dịch vụ trực tuyến, kể cả các trang chạy WordPress, Drupal hay Joomla; vì vậy cần kiểm tra phiên bản PHP đang vận hành, ưu ti...
Đăng bởiBiên tập bằng GPT-6 LunaHình ảnh được tạo bằng GPT Image 2
Câu trả lời nghiên cứu
Bài học chính
- PHP2Shell là tên gọi chung của CVE 2026 109618 và CVE 2026 109619, hai lỗ hổng có thể giúp kẻ tấn công chạy mã trên máy chủ PHP mà không cần đăng nhập.
- PHP được dùng rộng rãi trong website và dịch vụ trực tuyến, kể cả các trang chạy WordPress, Drupal hay Joomla; vì vậy cần kiểm tra phiên bản PHP đang vận hành, ưu tiên vá hệ thống tiếp xúc Internet và rà soát dấu hiệu...
- PHP đã phát hành bản vá ngày 21/10/2026. Ngày hôm sau, Ủy viên CSA Gwenda Fong kêu gọi các tổ chức hành động khẩn trương, đặc biệt lưu ý những doanh nghiệp nhỏ có thể chưa biết hệ thống của mình bị ảnh hưởng.
Prompt AI
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the two critical PHP2Shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619), how can attackers exploit them without login cred. Article summary: PHP2Shell is the collective name for two critical PHP runtime vulnerabilities, CVE-2026-109618 and CVE-2026-109619, that can enable remote code execution without authentication. [7][8] PHP maintainers released emergency . Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell là tên gọi chung của hai lỗ hổng nghiêm trọng trong môi trường thực thi PHP: CVE-2026-109618 và CVE-2026-109619. Chúng có thể cho phép thực thi mã từ xa mà không cần xác thực — nghĩa là kẻ tấn công có thể chạy mã trên máy chủ bị ảnh hưởng mà không cần đăng nhập trước. Nhóm phát triển PHP phát hành bản vá bảo mật ngày 21/10/2026; hôm sau, Ủy viên Cơ quan An ninh mạng Singapore (CSA) Gwenda Fong kêu gọi các tổ chức khẩn trương xử lý. 5
6
Điều cần biết
- Rủi ro nằm ở PHP, không chỉ ở một nền tảng website cụ thể: lỗ hổng liên quan đến môi trường thực thi PHP, nên việc chỉ cập nhật hệ quản trị nội dung chưa chắc đã xử lý được vấn đề.
5
24
- Thực thi mã không cần xác thực có thể gây hậu quả nghiêm trọng: nếu khai thác thành công, kẻ tấn công có thể chiếm quyền kiểm soát máy chủ web, truy cập dữ liệu hoặc làm gián đoạn dịch vụ.
- Hệ thống có lỗ hổng không đồng nghĩa đã bị xâm nhập: tổ chức cần vá lỗi, đồng thời kiểm tra riêng xem hệ thống có dấu hiệu bị truy cập hay không. Hướng dẫn của CSA đề cập cách xác định các bản cài PHP dễ bị ảnh hưởng và theo dõi khả năng bị khai thác.
Hai lỗ hổng PHP2Shell hoạt động như thế nào?
Các lỗi liên quan đến cách PHP xử lý bộ nhớ và trạng thái của yêu cầu. Theo mô tả kỹ thuật, CVE-2026-109618 liên quan đến việc xử lý tình trạng hết bộ nhớ có thể khiến trạng thái yêu cầu bị sai lệch. CVE-2026-109619 liên quan đến trạng thái toàn cục thuộc về một yêu cầu vẫn bị sử dụng sau khi vùng nhớ của nó đã được giải phóng. Những lỗi này có thể tạo điều kiện cho việc thực thi mã từ xa. 1
Điểm đáng lo là dịch vụ PHP có lỗ hổng có thể nhận một yêu cầu độc hại mà không đòi hỏi kẻ tấn công phải có tài khoản hợp lệ. Nếu khai thác thành công, mã độc chạy trong phạm vi quyền của dịch vụ bị ảnh hưởng; mức độ thiệt hại còn tùy vào quyền truy cập và cấu hình của dịch vụ đó. Theo các thông tin về cảnh báo tại Singapore, kẻ tấn công có thể chiếm máy chủ web, đánh cắp dữ liệu hoặc làm gián đoạn dịch vụ. 11
24
Vì sao Singapore kêu gọi hành động khẩn trương?
PHP là nền tảng của nhiều website và dịch vụ trực tuyến, trong đó có các trang xây dựng bằng WordPress, Drupal và Joomla. Vì vậy, tổ chức cần kiểm tra chính môi trường PHP đang chạy, thay vì cho rằng chỉ cập nhật nền tảng website là đủ. 9
24
Thời điểm cũng rất quan trọng: PHP phát hành bản vá ngày 21/10, và bà Fong kêu gọi hành động khẩn trương vào ngày 22/10. CSA lưu ý rằng một số tổ chức — đặc biệt là doanh nghiệp nhỏ — có thể chưa nhận ra hệ thống của mình bị ảnh hưởng. Đây là cảnh báo về nguy cơ phơi nhiễm, không phải xác nhận rằng mọi tổ chức có lỗ hổng đều đã bị xâm nhập. 6
9
CSA cho biết cơ quan này đang phối hợp với các cơ quan chính phủ, đơn vị vận hành hạ tầng thông tin trọng yếu, doanh nghiệp lớn và đối tác trong ngành để đẩy nhanh việc vá lỗi. CSA cũng tiếp cận các tổ chức nhỏ hơn thông qua hiệp hội doanh nghiệp, nhà cung cấp dịch vụ an ninh mạng và đối tác công nghệ. 27
Tổ chức nên làm gì?
- Kiểm kê mọi nơi đang cài PHP. Rà soát các môi trường PHP phục vụ website, ứng dụng và dịch vụ trực tuyến, kể cả hệ thống do nhà phát triển web hoặc đơn vị lưu trữ quản lý. Cảnh báo của CSA có hướng dẫn nhận diện các bản cài PHP dễ bị ảnh hưởng.
- Ưu tiên vá các hệ thống có thể truy cập từ Internet. Cài bản cập nhật phù hợp với nhánh PHP và môi trường lưu trữ, bắt đầu từ các dịch vụ công khai trên mạng. Xác nhận với nhà cung cấp rằng dịch vụ PHP đang chạy — chứ không chỉ phần mềm website — đã được cập nhật. PHP phát hành bản vá ngày 21/10.
6
- Kiểm tra khả năng đã bị khai thác. Vá lỗi giúp giảm nguy cơ tiếp tục bị tấn công nhưng không cho biết liệu kẻ tấn công có từng truy cập hệ thống trước đó hay không. Rà soát các nhật ký bảo mật hiện có và làm theo hướng dẫn của CSA để theo dõi dấu hiệu xâm nhập liên quan.
- Nhờ hỗ trợ nếu chưa xác định được tình trạng. Liên hệ đội ngũ IT, nhà phát triển website hoặc đơn vị lưu trữ để xác nhận phiên bản PHP đang chạy, bản cập nhật đã được cài hay chưa và có dấu hiệu bị xâm nhập không. Các tổ chức nhỏ phụ thuộc vào nhà cung cấp bên ngoài có thể cần họ giúp kiểm tra những hệ thống mình không trực tiếp quản lý.
27
- Tham khảo hướng dẫn kỹ thuật của CSA. Cảnh báo SingCERT mang tên “Critical Vulnerabilities in PHP (PHP2Shell)” cung cấp thêm thông tin cho chủ website, nhà cung cấp dịch vụ, quản trị viên hệ thống và đội ngũ an ninh.
Ưu tiên trước mắt là xác định những dịch vụ PHP nào đang tiếp xúc với Internet và áp dụng bản vá phù hợp. Nếu hệ thống từng có lỗ hổng trước khi được cập nhật, hãy xem việc kiểm tra khả năng bị xâm nhập là một bước riêng — cài bản vá không tự nó chứng minh rằng hệ thống chưa từng bị truy cập. 5
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Người ta cũng hỏi
Câu trả lời ngắn gọn cho "PHP2Shell: Hai lỗ hổng nghiêm trọng và việc tổ chức cần làm ngay" là gì?
PHP2Shell là tên gọi chung của CVE 2026 109618 và CVE 2026 109619, hai lỗ hổng có thể giúp kẻ tấn công chạy mã trên máy chủ PHP mà không cần đăng nhập.
Những điểm chính cần xác nhận đầu tiên là gì?
PHP2Shell là tên gọi chung của CVE 2026 109618 và CVE 2026 109619, hai lỗ hổng có thể giúp kẻ tấn công chạy mã trên máy chủ PHP mà không cần đăng nhập. PHP được dùng rộng rãi trong website và dịch vụ trực tuyến, kể cả các trang chạy WordPress, Drupal hay Joomla; vì vậy cần kiểm tra phiên bản PHP đang vận hành, ưu tiên vá hệ thống tiếp xúc Internet và rà soát dấu hiệu...
Tôi nên làm gì tiếp theo trong thực tế?
PHP đã phát hành bản vá ngày 21/10/2026. Ngày hôm sau, Ủy viên CSA Gwenda Fong kêu gọi các tổ chức hành động khẩn trương, đặc biệt lưu ý những doanh nghiệp nhỏ có thể chưa biết hệ thống của mình bị ảnh hưởng.
Nguồn