Nguy cơ chiếm máy chủ từ xa không cần đăng nhập
Lỗ hổng PHP là lỗi trong cách ngôn ngữ lập trình xử lý một số tình huống bộ nhớ, có thể cho phép kẻ tấn công thực thi mã từ xa trên máy chủ website mà không cần thông tin đăng nhập. Hai lỗi mang mã CVE-2026-109618 và CVE-2026-109619 đều được chấm 9,2/10 về mức độ nghiêm trọng. Đây không phải rủi ro chỉ dành cho một nền tảng riêng lẻ: PHP vận hành khoảng 70% website, gồm nhiều hệ thống dùng WordPress, Drupal và Joomla. Hadrian cho biết các lỗi đã bị khai thác trên diện rộng. Vì vậy, đây là tình huống cần hành động nhanh, nhưng không phải lý do để phỏng đoán rằng mọi website đều đã bị xâm nhập. Mức rủi ro thực tế còn tùy phiên bản PHP và cách triển khai hệ thống; ưu tiên đúng là xác định tài sản bị ảnh hưởng rồi xử lý theo thứ tự.
Tạm ngừng hoạt động là biện pháp phòng ngừa, không phải giải pháp lâu dài
Phản ứng của nhiều tổ chức cho thấy họ xem cảnh báo này là khẩn cấp: một số cơ quan và dịch vụ công ở Hà Lan, Phần Lan, Pháp và Canada chủ động ngắt kết nối hoặc đưa website vào chế độ bảo trì; các đơn vị khác cũng tạm dừng dịch vụ để chờ xử lý. Động thái ấy có thể hợp lý khi hệ thống chưa được vá và không thể giảm thiểu rủi ro kịp thời, nhưng đóng website không thể thay thế việc khắc phục. PHP đã phát hành bản vá ngày 21/10 cho các nhánh 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Các phiên bản 7.3 trở về trước không nhận bản vá cho lỗi này và cần được nâng cấp. Tổ chức nên kiểm tra từng máy chủ thay vì cho rằng nền tảng lưu trữ hoặc một website chính đã cập nhật thì toàn bộ hệ thống đều an toàn.
Quy trình rà soát, cập nhật và giảm thiểu rủi ro
Muốn bảo mật website hiệu quả, hãy bắt đầu bằng danh sách đầy đủ các máy chủ, website, ứng dụng và môi trường thử nghiệm đang dùng PHP, kèm phiên bản thực tế. Sau đó, trao đổi với nhà cung cấp dịch vụ lưu trữ để xác nhận trạng thái vá; nâng cấp lên phiên bản đã được sửa hoặc áp dụng gói cập nhật do bản phân phối Linux cung cấp. Nếu hệ thống chưa thể vá ngay, bật và cập nhật quy tắc tường lửa ứng dụng web (WAF), giới hạn kích thước và số lượng yêu cầu tại máy chủ hoặc proxy, đồng thời rà soát giới hạn bộ nhớ PHP. Website chưa thể vá và chưa có biện pháp giảm thiểu đáng tin cậy nên được ngắt kết nối tạm thời. Sau khi cập nhật, kiểm tra nhật ký và tiếp tục giám sát để tìm dấu hiệu truy cập bất thường; bản vá giảm nguy cơ tiếp diễn nhưng không tự xác nhận rằng hệ thống chưa từng bị xâm nhập.
- Kiểm kê mọi máy chủ, website, ứng dụng và môi trường có PHP; ghi lại phiên bản đang chạy.
- Cập nhật lên bản PHP đã vá hoặc xác nhận lịch và phạm vi cập nhật với nhà cung cấp lưu trữ.
- Bật quy tắc WAF, giới hạn yêu cầu và rà soát cấu hình bộ nhớ nếu chưa thể vá ngay.
- Ngắt kết nối hệ thống còn phơi nhiễm, rồi kiểm tra nhật ký và duy trì giám sát sau khi vá.
Dùng công cụ kiểm tra, nhưng đừng xem kết quả là chứng nhận an toàn
Công ty an ninh mạng Piolink cung cấp công cụ trực tuyến miễn phí để kiểm tra lỗ hổng trên website; kết quả được phân thành ba trạng thái: có nguy cơ bị tấn công, đã vá hoặc chưa xác định. Đây là điểm khởi đầu hữu ích khi cần sàng lọc nhanh, nhưng không nên coi một kết quả trên website công khai là cuộc rà soát đầy đủ cho mọi máy chủ, ứng dụng hay môi trường thử nghiệm. Hãy đối chiếu với phiên bản PHP đang chạy và xác nhận trực tiếp với đơn vị quản trị hoặc nhà cung cấp lưu trữ. Cách tiếp cận đúng không phải là hoảng loạn hay tắt mọi dịch vụ vô thời hạn, mà là lập danh sách, vá theo mức ưu tiên, áp dụng phòng vệ tạm thời và theo dõi liên tục. Với những hệ thống không thể cập nhật kịp, giảm khả năng tiếp cận từ bên ngoài cho đến khi có biện pháp bảo vệ phù hợp.
