Lỗ hổng trong PHP có thể mở đường cho chiếm quyền máy chủ
Lỗ hổng PHP là điểm yếu trong mã nguồn của ngôn ngữ lập trình phía máy chủ, có thể khiến website chạy PHP gặp lỗi nghiêm trọng và bị kẻ tấn công xâm nhập nếu chưa cập nhật bản vá. Hai mã được cảnh báo là CVE-2026-109618 và CVE-2026-109619, tồn tại lâu năm trong mã nguồn và có thể gây cạn bộ nhớ, làm hỏng dữ liệu trong một số điều kiện. Nghiêm trọng hơn, cơ quan an ninh mạng Anh cảnh báo chúng có thể cho phép thực thi mã từ xa mà không cần xác thực. Đây không phải rủi ro chỉ giới hạn ở một ứng dụng riêng lẻ: PHP vận hành các nền tảng phổ biến như WordPress, Drupal, Joomla và Magento, cùng nhiều dịch vụ lưu trữ và bảng điều khiển. Vì vậy, tổ chức có thể đang dùng PHP mà không nhận ra, còn phạm vi rà soát phải rộng hơn một website đơn lẻ.
“Hơn 2/3 số trang web trên Internet sử dụng PHP”. Quy mô này khiến lỗ hổng PHP trở thành vấn đề bảo mật website có tính hệ thống, không phải việc bảo trì có thể để lại cho đợt cập nhật sau.
Tấn công đã xuất hiện, nhiều dịch vụ công chọn ngoại tuyến
Lý do cần hành động ngay rất rõ: cảnh báo không còn chỉ là giả định. Các đơn vị theo dõi an ninh mạng ghi nhận những đợt tấn công đầu tiên, trong khi thông tin về lỗ hổng bị rò rỉ trước thời điểm công bố theo kế hoạch và trước khi bản vá được phát hành. Khoảng 1,5 triệu máy chủ được ghi nhận đang chạy phiên bản PHP chưa được vá. Khi mã khai thác có thể được phân tích nhanh, mỗi ngày trì hoãn đều kéo dài cơ hội cho kẻ tấn công tìm máy chủ dễ tổn thương.
Tại Hà Lan, nhiều tổ chức tạm ngừng website công khai theo khuyến cáo của cơ quan an ninh mạng quốc gia. Các hệ thống bị ảnh hưởng gồm cổng thông tin chính phủ và dịch vụ công; tại Phần Lan, dịch vụ mạng công cộng của chính phủ cũng được đưa ngoại tuyến để phòng ngừa. Bộ Nội vụ Pháp chuyển website trực thuộc sang chế độ bảo trì. Những đợt gián đoạn này gây bất tiện, nhưng cho thấy cơ quan vận hành ưu tiên giảm nguy cơ xâm nhập và đánh cắp dữ liệu hơn là giữ dịch vụ trực tuyến bằng mọi giá.
Rà soát, vá lỗi PHP và xác minh trước khi mở lại
Nhóm phát triển PHP đã phát hành phiên bản phần mềm mới để vá hai lỗ hổng, vì thế vá lỗi PHP cần được xem là việc khẩn cấp, không phải kế hoạch tùy chọn. Khuyến cáo của giới bảo mật là các tổ chức sử dụng PHP phải kiểm tra ngay hệ thống dữ liệu và cập nhật bản vá mới nhất. Cơ quan an ninh mạng Anh lưu ý tổ chức dùng PHP, bất kể phiên bản nào, đều cần xác định mức độ ảnh hưởng; điều đó không có nghĩa mọi phiên bản đều có cùng trạng thái lỗi, mà là không nên tự loại mình khỏi diện rà soát.
- Kiểm kê máy chủ, website, hệ thống lưu trữ và ứng dụng phụ thuộc PHP; xác định phiên bản đang chạy.
- Cập nhật lên phiên bản PHP đã được phát hành để khắc phục lỗ hổng, theo dõi hướng dẫn chính thức và phối hợp với nhà cung cấp nếu dùng dịch vụ quản lý.
- Kiểm tra nhật ký truy cập, dấu hiệu thực thi bất thường và tính toàn vẹn dữ liệu; nếu chưa thể vá hoặc phát hiện dấu hiệu xâm nhập, cô lập hệ thống bị ảnh hưởng và kích hoạt quy trình ứng phó sự cố.
- Chỉ đưa website chính phủ hoặc dịch vụ công trở lại trực tuyến sau khi xác minh bản vá, kiểm tra hệ thống và đánh giá rủi ro còn lại.
Không có thống kê đầy đủ về mức ảnh hưởng tại Việt Nam, nhưng thiếu số liệu không phải lý do để chờ. Với một nền tảng phổ biến và lỗ hổng đã bị khai thác, chủ động cập nhật là lựa chọn thực tế hơn việc hy vọng hệ thống của mình không nằm trong diện bị nhắm tới.
