Câu trả lờiĐã xuất bản24 nguồn
PHP2Shell: Vì sao cần vá PHP ngay?
PHP2Shell gồm hai lỗ hổng thực thi mã từ xa không cần xác thực, cùng được chấm 9,2/10 theo CVSS 4.0. Các bản PHP đã vá là 8.5.12, 8.4.27, 8.3.36 và 8.2.35.
Đăng bởiBiên tập bằng GPT-6 LunaHình ảnh được tạo bằng GPT Image 2
Câu trả lời nghiên cứu
Bài học chính
- PHP2Shell gồm hai lỗ hổng thực thi mã từ xa không cần xác thực, cùng được chấm 9,2/10 theo CVSS 4.0.
- Các bản PHP đã vá là 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Tổ chức nên kiểm kê hệ thống chạy PHP và ưu tiên cập nhật.
- Có báo cáo về các nỗ lực khai thác, nhưng một yêu cầu tấn công được ghi nhận không đồng nghĩa hệ thống đã bị xâm nhập.
Prompt AI
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
PHP2Shell là tên gọi của hai lỗ hổng nghiêm trọng trong phần xử lý yêu cầu của PHP: CVE-2026-109618 và CVE-2026-109619. Kẻ tấn công không cần tài khoản vẫn có thể gửi yêu cầu được tạo đặc biệt để thực thi mã trên máy chủ bị ảnh hưởng. PHP phát hành bản vá khẩn cấp ngày 21/10/2026, sau khi thông tin về lỗ hổng bị công khai sớm hơn kế hoạch. Các báo cáo về nỗ lực tấn công là lý do cần hành động khẩn trương, nhưng tự chúng chưa chứng minh hệ thống đã bị xâm nhập thành công. 4
6
15
PHP2Shell ảnh hưởng thế nào?
Hai lỗi nằm trong chính PHP, không chỉ trong một ứng dụng hay trang web cụ thể. Các cảnh báo bảo mật cho biết PHP 5.4 trở lên bị ảnh hưởng; yêu cầu HTTP được tạo đặc biệt có thể kích hoạt lỗi trên hệ thống xử lý lưu lượng web. 8
14
Hai lỗ hổng có nguyên nhân kỹ thuật khác nhau: CVE-2026-109618 liên quan đến lỗi hỏng bộ nhớ khi cạn bộ nhớ (out-of-memory), còn CVE-2026-109619 liên quan đến trạng thái toàn cục cũ (stale global state). Cả hai đều được chấm 9,2/10 theo CVSS 4.0, mức Nghiêm trọng. 4
15
PHP được sử dụng rộng rãi, nhưng các nguồn hiện có không đưa ra một tỷ lệ đáng tin cậy về số website bị ảnh hưởng. Những con số phổ biến trên mạng có thể dùng mẫu số khác nhau, nên không thể mặc nhiên xem một tỷ lệ tiêu đề là số website thực sự có lỗ hổng. Với đơn vị vận hành, điều cần xác định là có bản cài PHP nào đang phục vụ yêu cầu web mà chưa được vá hay không. 3
14
Thông tin bị lộ sớm, bản vá được phát hành khẩn cấp
Sự tồn tại của các lỗ hổng được công khai ngày 20/10, sớm hơn một ngày so với thời điểm PHP phát hành bản vá khẩn cấp và sớm hơn lịch công bố ban đầu là ngày 22/10. 6
7
16
Cloudflare ghi nhận Calif, Wiz, OpenAI và Quarkslab trong thông tin về quá trình công bố. Các bài tường thuật cùng thời điểm đề cập nghiên cứu có hỗ trợ AI của Calif, đồng thời cho biết Wiz phát hiện và báo cáo các lỗi một cách độc lập. Các nguồn hiện có chưa xác định chính xác phần đóng góp kỹ thuật của từng bên. 14
20
Các phiên bản PHP được sửa lỗi ngày 21/10 gồm 8.5.12, 8.4.27, 8.3.36 và 8.2.35. 15
16 Quản trị viên nên kiểm tra phiên bản PHP đang chạy trong môi trường thực tế, sau đó cập nhật lên bản phù hợp hoặc áp dụng bản vá ngược (backport) do nhà cung cấp xác nhận.
Lưu ý: nhà cung cấp dịch vụ lưu trữ có thể đưa bản sửa bảo mật vào gói hiện có mà không thay đổi chuỗi phiên bản hiển thị. Nếu số phiên bản trông có vẻ cũ, hãy kiểm tra thông báo bảo mật của nhà cung cấp trước khi kết luận hệ thống chưa được vá. 1
Có báo cáo về nỗ lực khai thác, nhưng cần đọc đúng mức độ
Ngày 21/10, các báo cáo an ninh mạng đề cập những nỗ lực khai thác hai lỗ hổng này. Cloudflare cho biết họ quan sát được lưu lượng tấn công; SecurityWeek đưa tin một số công ty an ninh mạng đã thấy các nỗ lực khai thác trước khi PHP phát hành bản vá. 14
15
Tuy nhiên, thông tin khi đó không dẫn đến một kết luận thống nhất về việc khai thác thành công. Một bản tổng hợp các tin tức ngày 21/10 cho biết CISA của Mỹ và Trung tâm An ninh mạng Canada chưa quan sát hoặc xác định được hoạt động khai thác vào thời điểm phát cảnh báo, trong khi các công ty an ninh mạng báo cáo nỗ lực tấn công. Hai điều này không mâu thuẫn: có yêu cầu tấn công không đồng nghĩa đã xâm nhập thành công; việc một cơ quan chưa ghi nhận sự cố cũng không chứng minh rằng không nơi nào bị xâm nhập. 25
Việc cần làm: kiểm kê, vá lỗi và chỉ dùng biện pháp tạm thời khi cần
Cơ quan An ninh Quốc gia Mỹ (NSA) khuyến nghị các tổ chức ưu tiên áp dụng bản vá của nhà cung cấp và kiểm kê phần cứng, phần mềm phụ thuộc vào các phiên bản PHP dễ bị tấn công. 17 CISA cũng được tường thuật là đã thúc giục tổ chức cập nhật ngay.
20 Nếu chưa thể vá dịch vụ bị ảnh hưởng, một số bài viết cho biết khuyến nghị là tạm thời đưa dịch vụ đó ngoại tuyến thay vì tiếp tục để nó lộ ra trước lưu lượng web.
7
21
Cloudflare cho biết các khách hàng dùng WAF — tường lửa ứng dụng web — ở cả gói miễn phí lẫn trả phí được bật bảo vệ mặc định trước PHP2Shell từ 03:02 UTC ngày 21/10. 14 Lớp lọc này có thể giúp giảm rủi ro trong lúc xử lý sự cố, nhưng không thay thế việc cập nhật PHP. Có quy tắc WAF không đồng nghĩa máy chủ phía sau đã an toàn.
14
17
Sự cố cũng khiến các tổ chức cần kiểm tra những sản phẩm ngoài môi trường lưu trữ PHP thông thường. Help Net Security đưa tin Palo Alto Networks cho biết mọi phiên bản PAN-OS và Panorama đều bị ảnh hưởng, và tại thời điểm bài viết được đăng chưa có bản sửa. 33 Tình trạng ảnh hưởng và cách giảm thiểu phụ thuộc vào từng sản phẩm; nếu đang dùng thiết bị hoặc nền tảng được quản lý, hãy làm theo cảnh báo riêng của nhà cung cấp, thay vì cho rằng cập nhật gói PHP sẽ xử lý được vấn đề trên sản phẩm đó.
Kết luận
Hãy xem PHP2Shell là việc cần ưu tiên vá: kiểm kê các dịch vụ PHP, cài bản đã sửa hoặc bản backport được nhà cung cấp xác nhận, và chỉ coi việc cách ly hay lọc lưu lượng là biện pháp tạm thời. Các báo cáo ngày 21/10 cho thấy đã có nỗ lực khai thác, nhưng không đủ căn cứ để xem mọi nỗ lực là một vụ xâm nhập đã được xác nhận. 1
15
17
25
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Người ta cũng hỏi
Câu trả lời ngắn gọn cho "PHP2Shell: Vì sao cần vá PHP ngay?" là gì?
PHP2Shell gồm hai lỗ hổng thực thi mã từ xa không cần xác thực, cùng được chấm 9,2/10 theo CVSS 4.0.
Những điểm chính cần xác nhận đầu tiên là gì?
PHP2Shell gồm hai lỗ hổng thực thi mã từ xa không cần xác thực, cùng được chấm 9,2/10 theo CVSS 4.0. Các bản PHP đã vá là 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Tổ chức nên kiểm kê hệ thống chạy PHP và ưu tiên cập nhật.
Tôi nên làm gì tiếp theo trong thực tế?
Có báo cáo về các nỗ lực khai thác, nhưng một yêu cầu tấn công được ghi nhận không đồng nghĩa hệ thống đã bị xâm nhập.
Nguồn
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
vulncheck.comPHP2Shell Vulnerabilities: CVE-2026-109618 and ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php (CVE ...