Rủi ro nằm ở máy chủ, không phải trình duyệt cá nhân
Hai lỗ hổng PHP là các lỗi bảo mật trong ngôn ngữ lập trình PHP có thể bị khai thác qua những yêu cầu được thiết kế đặc biệt, tạo điều kiện để kẻ tấn công chạy mã trên máy chủ web bị ảnh hưởng mà không cần đăng nhập. Hai lỗ hổng mang mã CVE-2026-109618 và CVE-2026-109619 đã có bản vá chính thức. Cả hai được chấm 9,2/10 theo thang CVSS v4.0, nên các đơn vị vận hành website không nên trì hoãn xử lý. Nếu khai thác thành công, tin tặc có thể thực thi mã từ xa trên máy chủ PHP mà không cần tài khoản. Đây là nguy cơ đối với hạ tầng chạy ứng dụng và dữ liệu trên máy chủ; người dùng internet thông thường không bị ảnh hưởng trực tiếp trên thiết bị hay trình duyệt cá nhân. Mức độ rủi ro thực tế còn tùy phiên bản PHP, cách triển khai và lớp phòng vệ hiện có. Điều đó giúp định hướng ứng phó, nhưng không phải lý do để bỏ qua việc kiểm tra.
Vá theo tình trạng phiên bản, không theo cảm tính
Nhóm phát triển PHP công bố cập nhật bảo mật ngày 21/10; đến ngày 22/10, Cục An ninh mạng và Hiệp hội An ninh mạng quốc gia thông tin rằng hai lỗ hổng đã có bản vá chính thức. Các phiên bản PHP có bản vá gồm 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Doanh nghiệp nên đối chiếu phiên bản đang chạy với gói cập nhật tương ứng từ PHP hoặc nhà phân phối hệ điều hành, rồi kiểm thử trước khi đưa thay đổi vào môi trường chính. Với các nhánh 7.4, 8.0 và 8.1 đã hết hỗ trợ chính thức, bản sửa có thể được cung cấp dưới dạng mã nguồn hoặc qua nhà phân phối và đơn vị hỗ trợ dài hạn. Riêng PHP 7.3 trở về trước không có bản vá; các hệ thống này cần được nâng cấp, thay vì trông chờ một bản cập nhật không tồn tại.
Kiểm kê trước, ưu tiên hệ thống phơi lộ nhiều
Thứ tự xử lý hiệu quả bắt đầu bằng việc tìm cho đủ hệ thống, rồi mới quyết định nơi cần vá trước. Lập danh sách máy chủ, website, ứng dụng và container có sử dụng PHP, ghi rõ phiên bản và môi trường triển khai. Đừng bỏ qua máy thử nghiệm, máy chủ ít được chăm sóc hoặc ứng dụng cũ: những điểm mù này dễ bị quên khi lập kế hoạch cập nhật. Sau kiểm kê, ưu tiên máy chủ phục vụ dịch vụ công khai và hệ thống đang chạy phiên bản chưa vá; phối hợp đội phát triển để kiểm thử tương thích, sao lưu và triển khai có kiểm soát. Nếu thuê hosting hoặc dùng hạ tầng đám mây, hãy yêu cầu nhà cung cấp xác nhận máy chủ PHP và quy tắc bảo vệ đã được cập nhật. Việc nhà cung cấp đã xử lý một phần hạ tầng không thay thế trách nhiệm rà soát ứng dụng, cấu hình và tài sản riêng của doanh nghiệp.
Giảm nguy cơ trong lúc vá và duy trì giám sát
Trong thời gian chờ cập nhật, WAF được cấu hình phù hợp có thể lọc truy vấn bất thường và giảm nguy cơ khai thác, nhưng không nên xem đây là giải pháp thay thế bản vá. Rà soát quy tắc WAF, giới hạn kích thước và số lượng yêu cầu tại máy chủ web hoặc proxy, đồng thời kiểm tra giới hạn bộ nhớ PHP; hãy thử nghiệm thay đổi để tránh làm gián đoạn ứng dụng. Tăng cường theo dõi nhật ký truy cập để phát hiện yêu cầu dung lượng lớn hoặc tần suất cao, lỗi bộ nhớ lặp lại và tệp lạ xuất hiện trên máy chủ. Cục An ninh mạng và Hiệp hội An ninh mạng quốc gia khuyến nghị rà soát có hệ thống, vá theo thứ tự ưu tiên và giám sát liên tục, thay vì lo lắng quá mức. Đây là cách tiếp cận đúng: bình tĩnh đánh giá mức phơi lộ, nhưng không trì hoãn hành động.
