Câu trả lờiĐã xuất bản27 nguồn
PHP2Shell là gì? Vì sao các máy chủ PHP cần được kiểm tra ngay
PHP2Shell là tên gọi của hai lỗi trong lõi PHP, cùng đạt 9,2 điểm theo thang CVSS v4.0 và có thể cho phép thực thi mã từ xa mà không cần đăng nhập. PHP đã phát hành bản sửa lỗi ngày 21/10/2026.
Đăng bởiBiên tập bằng GPT-6 LunaHình ảnh được tạo bằng GPT Image 2
Câu trả lời nghiên cứu
Bài học chính
- PHP2Shell là tên gọi của hai lỗi trong lõi PHP, cùng đạt 9,2 điểm theo thang CVSS v4.0 và có thể cho phép thực thi mã từ xa mà không cần đăng nhập.
- PHP đã phát hành bản sửa lỗi ngày 21/10/2026. Một số tổ chức an ninh mạng ghi nhận nỗ lực khai thác, nhưng đó không phải bằng chứng cho thấy máy chủ đã bị xâm nhập thành công.
- Quản trị viên cần kiểm tra phiên bản PHP đang chạy và áp dụng bản vá đã được xác minh; cập nhật CMS hay bật xác thực đa yếu tố không thay thế việc sửa lỗi trong PHP.
Prompt AI
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the global “php2shell” crisis involving PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619, why did Microsoft CEO Satya Nadella. Article summary: “PHP2Shell” is an urgent PHP security and patching incident involving CVE-2026-109618 and CVE-2026-109619: two critical flaws that can let an attacker execute code on a vulnerable web server without logging in, potential. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clic
PHP2Shell là tên gọi chung của hai lỗ hổng nghiêm trọng trong PHP, được theo dõi dưới mã CVE-2026-109618 và CVE-2026-109619. Nếu khai thác thành công, kẻ tấn công có thể chạy mã trên máy chủ bị ảnh hưởng mà không cần đăng nhập. PHP đã phát hành bản sửa lỗi ngày 21/10/2026; các công ty an ninh mạng cũng ghi nhận những nỗ lực khai thác, nhưng điều đó không đồng nghĩa đã có vi phạm dữ liệu hay máy chủ bị chiếm quyền.11
14
19
PHP2Shell gây ra rủi ro gì?
Hai lỗi nằm trong chính PHP — môi trường chạy mã phía máy chủ — chứ không chỉ ở một website, hệ quản trị nội dung hay tiện ích cụ thể. Theo Red Hat, một lỗi liên quan đến việc PHP xử lý trạng thái bộ nhớ không đúng khi cấp phát bộ nhớ thất bại lúc phân tích yêu cầu; lỗi còn lại có thể để sót trạng thái cũ sau khi một lỗi nghiêm trọng làm gián đoạn quá trình dọn dẹp.7
Những vấn đề này có thể mở đường cho thực thi mã từ xa (RCE): kẻ tấn công có khả năng chạy mã trên máy chủ dễ bị tổn thương mà không phải đăng nhập trước.11
13 Cả hai lỗ hổng đều được chấm 9,2 trên thang CVSS v4.0, thuộc mức nghiêm trọng.
4 Hệ quả tiềm tàng gồm máy chủ bị xâm phạm, dữ liệu bị lộ hoặc dịch vụ bị gián đoạn; tuy nhiên, có lỗ hổng không có nghĩa là mọi website dùng PHP đều đã bị tấn công.
13
Vì sao sự việc thu hút chú ý?
Các bài tường thuật cho biết những lỗi này có thể đã tồn tại trong PHP nhiều năm trước khi được phát hiện.42 Nhưng thời gian tồn tại lâu không chứng minh rằng tin tặc đã biết hoặc khai thác chúng suốt thời gian đó.
Quá trình phát hiện cũng làm dấy lên chú ý về vai trò của AI trong nghiên cứu bảo mật. Theo các nguồn tin, Calif và Wiz đã sử dụng công cụ AI trong quá trình điều tra; OpenAI cũng tham gia vào hoạt động nghiên cứu và công bố lỗ hổng.34
44 AI có thể hỗ trợ chuyên gia rà soát phần mềm, nhưng câu chuyện phát hiện này tự nó không cho biết tin tặc có thể tận dụng công cụ tương tự nhanh đến đâu, hay bên nào đang có lợi thế.
Một số tiêu đề nhấn mạnh PHP được cho là hiện diện trên khoảng 70% website.20 Đây là con số ước tính về mức độ phổ biến, không phải số máy chủ được xác nhận là dễ bị tấn công hay đã bị xâm nhập. Mức độ rủi ro thực tế còn phụ thuộc vào phiên bản PHP, cấu hình và cách triển khai, cũng như việc hệ thống đã được vá hay chưa.
Bản vá, nỗ lực khai thác và những gì đã được xác nhận
Ngày 21/10, dự án PHP phát hành các phiên bản có bản sửa lỗi: 8.2.35, 8.3.36, 8.4.27 và 8.5.12.19 Danh sách này bao gồm PHP 8.2 đến 8.5. Nếu tổ chức đang chạy phiên bản cũ hơn, hãy kiểm tra thông báo bảo mật từ nhà cung cấp hệ điều hành hoặc dịch vụ lưu trữ để xác minh có bản vá riêng hay bản vá ngược (backport) hay không; đừng mặc định rằng đã có hoặc chưa có bản sửa.
Có báo cáo về các nỗ lực khai thác. SecurityWeek cho biết Amazon ghi nhận một nỗ lực vào ngày 17/10, bốn ngày trước khi các bản vá được phát hành.14 Cloudflare cũng báo cáo lưu lượng thử khai thác tăng mạnh sau khi lỗ hổng được công bố; các thống kê được đưa tin sau đó lên tới hàng triệu lượt.
27
38 Đây là số lượt thử được ghi nhận, không phải số vụ xâm nhập thành công.
Đánh giá về quy mô khai thác chưa hoàn toàn thống nhất: một số nguồn nói có nhiều nỗ lực khai thác, trong khi một nguồn khác nhận định khai thác trên diện rộng có vẻ ít khả năng hơn dự kiến ban đầu.3
4 Tư liệu hiện có không xác nhận tình trạng xâm nhập thành công trên diện rộng. Hãy xem các cảnh báo tấn công đáng tin cậy một cách nghiêm túc, đồng thời phân biệt hoạt động dò quét hoặc thử khai thác với bằng chứng cho thấy một máy chủ cụ thể đã bị xâm nhập.
2
3
Một số đơn vị tạm ngừng dịch vụ
Trong quá trình ứng phó, một số tổ chức đã tạm đưa dịch vụ công khai vào trạng thái ngoại tuyến hoặc bảo trì. Các báo cáo đề cập đến những động thái tại Nhật Bản, Pháp, Phần Lan và Hà Lan; cơ quan tại Mỹ và châu Âu cũng kêu gọi các tổ chức xử lý vấn đề.18
20
35 Tạm ngừng website có thể giúp giảm mức độ phơi nhiễm trong lúc ứng phó, nhưng không phải bằng chứng cho thấy website đó đã bị xâm nhập.
Quản trị viên PHP nên làm gì?
- Kiểm tra PHP đang chạy, không chỉ kiểm tra ứng dụng. PHP2Shell ảnh hưởng đến môi trường chạy PHP, vì vậy cập nhật CMS hay tiện ích không chứng minh rằng bản PHP nền đã được sửa.
13
- Cài bản vá đã được xác minh. Nâng cấp lên phiên bản PHP có bản sửa phù hợp hoặc làm theo hướng dẫn vá ngược của nhà cung cấp. Sau đó xác nhận phiên bản thực sự đang chạy trên môi trường sản xuất.
19
- Kiểm tra dấu hiệu xâm nhập. Bản vá xử lý lỗ hổng, nhưng không chứng minh rằng máy chủ chưa từng bị truy cập. Rà soát nhật ký liên quan và điều tra hoạt động đáng ngờ trước khi đưa hệ thống trở lại vận hành bình thường.
- Thận trọng với biện pháp giảm thiểu tạm thời. Làm theo hướng dẫn hiện hành từ nhóm bảo trì PHP hoặc nhà cung cấp. Đừng dựa vào một thay đổi cấu hình đơn lẻ hay tường lửa ứng dụng web (WAF) thay cho bản vá PHP đã được xác minh.
15
27
- Dùng biện pháp bảo vệ tài khoản như một lớp bổ sung. Mật khẩu riêng biệt và xác thực đa yếu tố giúp bảo vệ tài khoản, nhưng không sửa được lỗi thực thi mã phía máy chủ vốn không yêu cầu đăng nhập.
Với đội ngũ CNTT, phân biệt giữa một lỗ hổng, một lần thử khai thác và một vụ xâm nhập đã được xác nhận là điều quan trọng. Cách nhìn này giúp ưu tiên vá lỗi khẩn cấp mà không biến những thông tin chưa chắc chắn thành kết luận về bên bị tấn công.
Studio Global AI
Tiếp tục nghiên cứu của bạn
Trang này bao gồm câu trả lời dựa trên nguồn mà bạn có thể tiếp tục bên trong Studio Global.
Người ta cũng hỏi
Câu trả lời ngắn gọn cho "PHP2Shell là gì? Vì sao các máy chủ PHP cần được kiểm tra ngay" là gì?
PHP2Shell là tên gọi của hai lỗi trong lõi PHP, cùng đạt 9,2 điểm theo thang CVSS v4.0 và có thể cho phép thực thi mã từ xa mà không cần đăng nhập.
Những điểm chính cần xác nhận đầu tiên là gì?
PHP2Shell là tên gọi của hai lỗi trong lõi PHP, cùng đạt 9,2 điểm theo thang CVSS v4.0 và có thể cho phép thực thi mã từ xa mà không cần đăng nhập. PHP đã phát hành bản sửa lỗi ngày 21/10/2026. Một số tổ chức an ninh mạng ghi nhận nỗ lực khai thác, nhưng đó không phải bằng chứng cho thấy máy chủ đã bị xâm nhập thành công.
Tôi nên làm gì tiếp theo trong thực tế?
Quản trị viên cần kiểm tra phiên bản PHP đang chạy và áp dụng bản vá đã được xác minh; cập nhật CMS hay bật xác thực đa yếu tố không thay thế việc sửa lỗi trong PHP.
Nguồn
cyber.gc.caAL26-026 - Critical vulnerabilities impacting PHP - CVE- ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php...