Câu trả lờiĐã xuất bản22 nguồn
PHP2Shell là gì? Những điều cần biết về hai lỗ hổng PHP
PHP2Shell là tên gọi chung của hai lỗ hổng PHP được chấm 9,2 theo CVSS v4.0, có thể cho phép thực thi mã từ xa mà không cần xác thực. PHP phát hành bản sửa lỗi ngày 21/10/2026, sớm hơn lịch dự kiến sau khi thông tin về hai mã CVE xuất hiện công khai.
Đăng bởiBiên tập bằng GPT-6 LunaHình ảnh được tạo bằng GPT Image 2
Câu trả lời nghiên cứu
Bài học chính
- PHP2Shell là tên gọi chung của hai lỗ hổng PHP được chấm 9,2 theo CVSS v4.0, có thể cho phép thực thi mã từ xa mà không cần xác thực.
- PHP phát hành bản sửa lỗi ngày 21/10/2026, sớm hơn lịch dự kiến sau khi thông tin về hai mã CVE xuất hiện công khai.
- Các hãng an ninh mạng ghi nhận nhiều nỗ lực khai thác, nhưng số liệu này không đồng nghĩa với số máy chủ đã bị xâm nhập thành công.
Prompt AI
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell là tên gọi của hai lỗ hổng nghiêm trọng trong chính PHP: CVE-2026-109618 và CVE-2026-109619. Cả hai được chấm 9,2/10 theo hệ thống CVSS v4.0 và có thể cho phép kẻ tấn công chưa đăng nhập thực thi mã từ xa trên máy chủ bị ảnh hưởng. PHP phát hành bản vá ngày 21/10/2026, sau khi thông tin về các lỗ hổng bị lộ trước lịch công bố dự kiến. Các báo cáo về nỗ lực tấn công xuất hiện nhanh chóng, nhưng nỗ lực khai thác không đồng nghĩa với một vụ xâm nhập thành công. 1
3
14
Hai lỗ hổng PHP2Shell gây rủi ro gì?
Các lỗi nằm trong cách PHP xử lý yêu cầu và quản lý bộ nhớ, không chỉ trong một framework hay ứng dụng cụ thể. CVE-2026-109618 liên quan đến xử lý tình trạng cạn bộ nhớ; CVE-2026-109619 liên quan đến trạng thái nội bộ cũ còn sót lại. Rủi ro được báo cáo là thực thi mã từ xa mà không cần xác thực. 1
14
Vì lỗi thuộc về môi trường chạy PHP, ứng dụng không có lỗ hổng riêng vẫn có thể gặp rủi ro nếu máy chủ đang dùng phiên bản PHP bị ảnh hưởng. Hướng dẫn vận hành cũng lưu ý các bản cài đặt PHP phục vụ yêu cầu web cần được xử lý. 55
Phiên bản PHP đã được vá
PHP công bố các bản sửa lỗi ngày 21/10/2026. Các phiên bản đã vá được liệt kê gồm:
Nếu hệ thống đang chạy phiên bản cũ hơn trong một trong các nhánh này, cần nâng cấp lên bản tương ứng đã vá. Thông tin về lỗ hổng xuất hiện trước lịch công bố dự kiến, khiến PHP đẩy sớm thời điểm phát hành bản sửa lỗi. 3
13
33
Mã CVE bị lộ trước lịch công bố
Ngày 20/10, một bài đăng trên Hacker News nhắc đến hai mã CVE và cho biết thông tin chi tiết dự kiến được công bố ngày 22/10. Bài đăng sau đó bị gỡ, nhưng ảnh chụp màn hình đã lan truyền. Các nhà nghiên cứu an ninh mạng về sau xác nhận thông tin là có thật và các lỗ hổng đang trong thời gian giữ kín trước khi công bố phối hợp. 3
Các bài viết đưa tin rằng Calif phát hiện một lỗ hổng với sự hỗ trợ của một mô hình OpenAI. Wiz cũng được cho là đã độc lập phát hiện và báo cáo các lỗ hổng trong quá trình phối hợp xử lý. Tuy nhiên, thông tin hiện có không xác nhận các lỗi đã tồn tại khoảng 20 năm, cũng không đủ để gán từng mã CVE cho một nhóm phát hiện cụ thể. 27
33
Một số dịch vụ tạm ngừng hoạt động để phòng ngừa
Một số tổ chức đã tạm đưa dịch vụ ngoại tuyến trong lúc đánh giá và xử lý rủi ro. Các bài viết đưa tin về những dịch vụ liên quan đến Bộ Tài chính Nhật Bản, nền tảng nhân sự BambooHR, Cảng Rotterdam và Wikimedia. Việc một dịch vụ tạm ngừng hoạt động không tự nó chứng minh rằng tổ chức đó đã bị xâm nhập. 19
Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) kêu gọi các tổ chức vận hành website bằng PHP áp dụng bản vá ngay. 33 Tài liệu được cung cấp không xác nhận đầy đủ số dịch vụ phải tạm ngừng, cũng không xác minh mọi thông tin về bệnh viện, trường học và cơ quan chính phủ bị ảnh hưởng.
Báo cáo khai thác cho thấy điều gì?
Các nguồn ghi nhận hoạt động ở cả trước lẫn sau khi lỗ hổng được công bố rộng rãi:
- Amazon cho biết hệ thống honeypot MadPot của hãng phát hiện một nỗ lực khai thác ngày 17/10, trước khi bản vá được phát hành ngày 21/10. Honeypot là hệ thống mồi dùng để quan sát hoạt động đáng ngờ; ghi nhận tại đó cho thấy có nỗ lực nhắm vào cảm biến, chứ không xác nhận máy chủ khác đã bị chiếm quyền.
50
58
- Cloudflare cho biết hãng quan sát hàng nghìn nỗ lực trong 10 giờ trước thông báo công khai và hàng triệu nỗ lực sau đó. Đây là số lần thử được ghi nhận trên mạng lưới của Cloudflare, không phải số máy chủ bị xâm nhập thành công.
36
- CISA cho biết tại thời điểm phát cảnh báo, cơ quan này chưa quan sát thấy hoạt động khai thác. Nhận định đó phản ánh dữ liệu CISA có tại thời điểm ấy; không phủ nhận các nỗ lực mà nhà cung cấp an ninh mạng ghi nhận bằng nguồn dữ liệu khác.
- Sophos đính chính một báo cáo trước đó về việc khai thác thành công trong môi trường khách hàng. Theo cập nhật sau khi phân tích thêm, dữ liệu của hãng cho thấy hoạt động quét và một số ít lần khai thác thất bại, chưa có bằng chứng về xâm nhập thành công trong các môi trường Sophos theo dõi.
7
Nhìn chung, các báo cáo cho thấy cần xử lý PHP2Shell khẩn trương: đã có nỗ lực khai thác và hậu quả tiềm tàng nghiêm trọng. Tuy nhiên, chúng không chứng minh rằng mọi nỗ lực đều thành công, cũng không đưa ra con số tổng thể đáng tin cậy về số hệ thống đã bị xâm nhập.
Những điều bằng chứng hiện có chưa xác nhận
Các thông tin được cung cấp không đưa ra con số đáng tin cậy về số máy chủ kết nối Internet đang bị ảnh hưởng; không xác minh các lỗ hổng đã tồn tại khoảng 20 năm; và cũng không chứng minh kẻ tấn công dùng AI để phát triển cách khai thác PHP2Shell. AI được nhắc đến trong quá trình phát hiện lỗ hổng, nhưng đó là vấn đề khác với việc xác định cách kẻ tấn công tìm ra hoặc biến lỗ hổng thành công cụ tấn công. 27
33
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Người ta cũng hỏi
Câu trả lời ngắn gọn cho "PHP2Shell là gì? Những điều cần biết về hai lỗ hổng PHP" là gì?
PHP2Shell là tên gọi chung của hai lỗ hổng PHP được chấm 9,2 theo CVSS v4.0, có thể cho phép thực thi mã từ xa mà không cần xác thực.
Những điểm chính cần xác nhận đầu tiên là gì?
PHP2Shell là tên gọi chung của hai lỗ hổng PHP được chấm 9,2 theo CVSS v4.0, có thể cho phép thực thi mã từ xa mà không cần xác thực. PHP phát hành bản sửa lỗi ngày 21/10/2026, sớm hơn lịch dự kiến sau khi thông tin về hai mã CVE xuất hiện công khai.
Tôi nên làm gì tiếp theo trong thực tế?
Các hãng an ninh mạng ghi nhận nhiều nỗ lực khai thác, nhưng số liệu này không đồng nghĩa với số máy chủ đã bị xâm nhập thành công.