Rủi ro nghiêm trọng, nhưng cần phản ứng có thứ tự
Lỗ hổng PHP là điểm yếu trong ngôn ngữ lập trình PHP có thể bị khai thác để xâm nhập máy chủ chạy website hoặc ứng dụng, kể cả khi kẻ tấn công chưa đăng nhập. Hai lỗi mang mã CVE-2026-109618 và CVE-2026-109619, còn được gọi chung là “php2shell”, có thể cho phép thực thi mã từ xa nếu khai thác thành công.
Cả hai lỗi được chấm 9,2/10 theo thang CVSS v4.0, nên việc chậm trễ vá lỗi PHP là điều không thể xem nhẹ. Các báo cáo ghi nhận truy vấn đáng ngờ tăng từ hàng nghìn trước khi thông tin được công bố lên hàng trăm nghìn sau hai giờ, rồi đạt hàng triệu lượt. Tuy nhiên, mức độ rủi ro thực tế còn tùy phiên bản PHP và cách triển khai; việc khai thác đòi hỏi yêu cầu được chế tạo đặc biệt cùng khả năng kiểm soát chính xác trạng thái bộ nhớ. Vì vậy, phản ứng đúng là khẩn trương kiểm kê và xử lý theo mức phơi lộ, không mặc định mọi máy chủ đều đã bị xâm nhập.
Tạm ngừng dịch vụ là lựa chọn phòng ngừa, không phải công thức chung
Một số cơ quan và đơn vị ở nhiều nước đã tạm đưa hệ thống công cộng ngoại tuyến để giảm rủi ro trong lúc rà soát. Tại Hà Lan, các dịch vụ tạm ngừng gồm cổng dịch vụ công Overheid.nl, mạng lưới định danh số quốc gia và website của trung tâm an ninh mạng quốc gia. Đây là biện pháp thận trọng trong bối cảnh nguy cơ dò quét tăng nhanh, nhưng không có nghĩa mọi cổng dịch vụ công đều cần đóng cửa.
Quyết định ngắt dịch vụ nên dựa trên phiên bản đang chạy, khả năng tiếp cận từ Internet, tình trạng bản vá và năng lực giám sát. Nếu hệ thống chưa thể cập nhật ngay mà đang phơi lộ, cô lập tạm thời hoặc hạn chế truy cập có thể hợp lý; nếu bản vá đã sẵn sàng và có thể triển khai an toàn, ưu tiên cập nhật rồi kiểm thử để khôi phục dịch vụ. WAF cấu hình đúng có thể lọc truy vấn bất thường và giảm nguy cơ bị xâm nhập, nhưng không thay thế việc cập nhật phần mềm. Với dịch vụ thiết yếu, phối hợp giữa nhóm vận hành, an ninh và chủ dịch vụ quan trọng hơn quyết định đóng mở theo cảm tính.
Ưu tiên kiểm kê, cập nhật và giám sát
Cơ quan an ninh mạng khuyến cáo các tổ chức dùng PHP rà soát có hệ thống, vá lỗi theo thứ tự ưu tiên và giám sát liên tục, thay vì lo lắng quá mức. Cách làm này vừa hạn chế cửa sổ rủi ro, vừa tránh bỏ sót máy chủ thử nghiệm, container hay hệ thống ít được quan tâm.
- Lập danh sách toàn bộ máy chủ, website, ứng dụng và môi trường có sử dụng PHP; ghi rõ phiên bản, mức độ tiếp xúc Internet và đơn vị phụ trách.
- Ưu tiên vá các hệ thống công khai, chứa dữ liệu nhạy cảm hoặc không có lớp bảo vệ phù hợp. Nhóm phát triển PHP đã phát hành bản sửa cho các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35; các bản phân phối Linux như Red Hat, Ubuntu, Debian và AlmaLinux cũng có gói cập nhật riêng.
- Với PHP 7.4, 8.0 và 8.1 đã hết hỗ trợ chính thức, xác định phương án cập nhật theo gói phân phối hoặc mã nguồn, đồng thời lập kế hoạch chuyển sang nhánh còn được hỗ trợ. PHP 7.3 trở về trước không có bản vá và cần nâng cấp.
- Bật, cập nhật quy tắc WAF; giới hạn kích thước và số lượng yêu cầu ở máy chủ web hoặc proxy, rà soát giới hạn bộ nhớ PHP và kiểm thử thay đổi trước khi áp dụng.
- Theo dõi yêu cầu lớn hoặc dồn dập, lỗi hết bộ nhớ lặp lại, tiến trình PHP dừng bất thường và tệp lạ xuất hiện; điều tra dấu hiệu đáng ngờ thay vì chỉ xác nhận cài đặt bản vá.
Vá có kế hoạch là cách bảo vệ dịch vụ tốt nhất
Nhà cung cấp hosting và đám mây đã cập nhật một số hạ tầng dùng chung và bổ sung quy tắc phòng thủ; tổ chức thuê dịch vụ vẫn cần hỏi rõ nhà cung cấp về phiên bản, tình trạng vá và phạm vi bảo vệ. Người dùng Internet phổ thông không bị ảnh hưởng trực tiếp trên thiết bị cá nhân hay trình duyệt vì lỗ hổng nằm ở phía máy chủ.
Kết luận cần giữ rõ ràng: đây là lỗ hổng nghiêm trọng, có dấu hiệu bị dò quét trên diện rộng, nhưng bản vá và hướng dẫn ứng phó đã có. Tổ chức không nên xem nhẹ, cũng không nên đóng toàn bộ dịch vụ nếu đánh giá kỹ thuật cho thấy có thể xử lý an toàn mà vẫn duy trì hoạt động. Kiểm kê đủ, vá theo mức ưu tiên, kiểm thử và giám sát liên tục mới là nền tảng của bảo mật website; ngắt kết nối chỉ nên dùng khi rủi ro chưa được kiểm soát.
