Rủi ro nằm ở máy chủ, không phải trình duyệt cá nhân
Lỗ hổng PHP là điểm yếu trong cách phần mềm máy chủ xử lý dữ liệu, có thể bị khai thác để chạy mã trái phép trên website hoặc ứng dụng dùng PHP. Hai lỗ hổng CVE-2026-109618 và CVE-2026-109619 đã có bản vá chính thức; doanh nghiệp nên hành động sớm, nhưng không nên hoảng loạn. Nhóm phát triển PHP công bố bản cập nhật bảo mật ngày 21/10; cả hai lỗ hổng được chấm 9,2/10 theo thang CVSS v4.0. Nếu khai thác thành công, kẻ tấn công có thể thực thi mã từ xa trên máy chủ web mà không cần đăng nhập. Đây là nguy cơ đáng kể với bảo mật website, nhưng không đồng nghĩa mọi website PHP đều dễ bị xâm nhập: mức độ ảnh hưởng phụ thuộc phiên bản, cách triển khai và các biện pháp phòng vệ. Việc khai thác còn đòi hỏi yêu cầu được tạo đặc biệt cùng khả năng kiểm soát chính xác trạng thái bộ nhớ. Người dùng Internet thông thường không bị ảnh hưởng trực tiếp trên thiết bị hay trình duyệt cá nhân.
Kiểm kê trước, vá theo mức độ ưu tiên
Sai lầm lớn nhất lúc này là chỉ kiểm tra website đang hoạt động mà bỏ quên máy chủ thử nghiệm, container hoặc ứng dụng ít được chăm sóc. Hãy lập danh sách toàn bộ máy chủ, website, ứng dụng và môi trường có PHP, ghi lại phiên bản đang chạy; đây là cơ sở để xác định hệ thống nào cần xử lý trước. Ưu tiên máy chủ đang công khai trên Internet, cung cấp dịch vụ quan trọng hoặc xử lý dữ liệu nhạy cảm. Với các phiên bản còn được hỗ trợ, bản vá PHP hiện có gồm 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Các nhánh 7.4, 8.0 và 8.1 đã hết hỗ trợ chính thức, nhưng có bản sửa dưới dạng mã nguồn hoặc qua nhà phân phối hệ điều hành và đơn vị hỗ trợ dài hạn. PHP 7.3 trở về trước không có bản vá cho vấn đề này, vì vậy cần lập kế hoạch nâng cấp thay vì tiếp tục dựa vào hệ thống cũ.
- Kiểm kê tài sản và xác nhận chính xác phiên bản PHP trên từng môi trường.
- Cập nhật lên phiên bản đã vá hoặc lấy gói sửa lỗi từ nhà phân phối hệ điều hành, nhà cung cấp dịch vụ.
- Kiểm thử ứng dụng sau cập nhật; đồng thời rà soát cấu hình WAF, giới hạn kích thước và số lượng yêu cầu, cũng như giới hạn bộ nhớ PHP.
Xác nhận trạng thái dịch vụ và theo dõi sau khi xử lý
Không phải doanh nghiệp nào cũng trực tiếp quản lý máy chủ PHP. Nếu website chạy trên dịch vụ lưu trữ hoặc hạ tầng đám mây, hãy yêu cầu nhà cung cấp xác nhận phiên bản đã được cập nhật và các quy tắc phòng vệ đã áp dụng. Một số nhà cung cấp đã chủ động vá hạ tầng dùng chung và bổ sung quy tắc WAF, nhưng xác nhận bằng văn bản vẫn tốt hơn suy đoán. Với hệ thống tự vận hành, WAF được cấu hình phù hợp có thể lọc truy vấn bất thường và giảm nguy cơ, song không thay thế việc cài bản vá. Sau cập nhật, cần tăng cường theo dõi nhật ký truy cập để phát hiện yêu cầu dung lượng lớn, tần suất cao, lỗi bộ nhớ lặp lại hoặc tệp lạ xuất hiện trên máy chủ. Nếu phát hiện dấu hiệu bất thường, cần điều tra sự cố thay vì mặc định rằng cập nhật đã khép lại mọi rủi ro.
Bình tĩnh nhưng không trì hoãn
Các lỗ hổng PHP này nghiêm trọng vì khả năng thực thi mã từ xa không yêu cầu đăng nhập, nhưng thông tin hiện có cũng cho thấy nguy cơ không giống nhau ở mọi hệ thống. Cách ứng phó đúng không phải là tắt website hàng loạt hay chạy theo tin đồn, mà là xác định tài sản bị ảnh hưởng, vá theo mức độ ưu tiên và kiểm tra lại sau triển khai. Doanh nghiệp nên ghi nhận phiên bản trước và sau khi cập nhật, lưu kết quả kiểm thử, đồng thời duy trì giám sát nhật ký. Với hệ thống đã hết hỗ trợ, nâng cấp là hướng xử lý cần thiết, không nên để bản sửa tạm thời trở thành giải pháp lâu dài. Rà soát có hệ thống, cập nhật đúng thứ tự và giám sát liên tục sẽ bảo vệ website tốt hơn cả sự chủ quan lẫn hoảng loạn.
