Thông điệp quan trọng: lỗ hổng PHP nghiêm trọng nhưng đã có bản vá
Hai lỗ hổng PHP nghiêm trọng mang mã CVE-2026-109618 và CVE-2026-109619 là lỗi phần mềm trên ngôn ngữ lập trình PHP cho phép kẻ tấn công thực thi mã từ xa trên máy chủ web mà không cần đăng nhập, gây nguy cơ gián đoạn hoạt động website và hệ thống liên quan nếu không được vá kịp thời. Vấn đề không nằm ở người dùng internet phổ thông mà nằm ở phía tổ chức, doanh nghiệp đang vận hành website, cổng thông tin, hệ thống thương mại điện tử và nền tảng quản trị nội dung dựa trên PHP. Cả hai lỗ hổng PHP đều được chấm 9,2/10 theo thang CVSS v4.0, cho thấy mức độ nghiêm trọng cao. Tuy vậy, điểm mấu chốt là bản vá đã được nhóm phát triển PHP phát hành chính thức ngày 21/10, và cơ quan quản lý an ninh mạng khẳng định ưu tiên hiện nay là rà soát, vá lỗi ưu tiên và giám sát liên tục thay vì hoảng loạn.
Vì sao doanh nghiệp Việt Nam phải quan tâm, còn người dùng phổ thông thì không
PHP đang vận hành phần lớn hệ thống website thương mại điện tử, cổng thông tin và các nền tảng quản trị nội dung, nghĩa là nhiều hoạt động kinh doanh trực tuyến phụ thuộc vào nó. Khi lỗ hổng PHP cho phép thực thi mã từ xa, kẻ tấn công có thể chiếm quyền điều khiển máy chủ, sửa nội dung, chèn mã độc hoặc làm gián đoạn dịch vụ, trực tiếp đe dọa an ninh mạng doanh nghiệp và uy tín thương hiệu. Tuy nhiên, hai lỗ hổng này nằm ở phía máy chủ, không nằm trên thiết bị cá nhân hay trình duyệt, nên người dùng internet thông thường không bị ảnh hưởng trực tiếp và không cần ngừng truy cập, mua sắm hay giao dịch trực tuyến chỉ vì thông tin lỗ hổng được công bố. Người dùng cá nhân vẫn nên duy trì các biện pháp bảo mật cơ bản như mật khẩu mạnh, xác thực hai yếu tố và cảnh giác với email, đường dẫn lừa đảo. Trách nhiệm hành động lúc này thuộc về các tổ chức, doanh nghiệp vận hành website, đặc biệt là đơn vị tự quản lý máy chủ.
Phiên bản nào bị ảnh hưởng và ý nghĩa thực tế với hạ tầng doanh nghiệp
Nhóm phát triển PHP đã phát hành bản vá cho các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35, đây là những nhánh đang được hỗ trợ chính thức. Với các nhánh PHP 7.4, 8.0 và 8.1 đã hết thời gian hỗ trợ, bản sửa lỗi chỉ được cung cấp dưới dạng mã nguồn, và một số bản phân phối Linux như Red Hat, Ubuntu, Debian, AlmaLinux phát hành gói cập nhật riêng. Các phiên bản từ PHP 7.3 trở về trước không có bản vá và buộc phải nâng cấp, nếu tiếp tục sử dụng đồng nghĩa chấp nhận rủi ro cao về bảo mật website và an ninh mạng doanh nghiệp. Việc khai thác lỗ hổng đòi hỏi yêu cầu được chế tạo đặc biệt và kiểm soát chính xác trạng thái bộ nhớ, nên không phải mọi hệ thống PHP đều có mức rủi ro như nhau. Hệ thống có tường lửa ứng dụng web (WAF) cấu hình chuẩn có thể giảm đáng kể nguy cơ bị xâm nhập, nhưng WAF không thể thay thế việc cập nhật bản vá và không bảo đảm loại bỏ hoàn toàn rủi ro.
Bốn bước vá lỗi ưu tiên theo khuyến cáo chính thức
Điểm tích cực là cơ quan an ninh mạng đã đưa ra lộ trình ứng phó rất rõ ràng cho doanh nghiệp. Trước hết, cần rà soát toàn bộ hệ thống: lập danh sách máy chủ, website, ứng dụng và mọi môi trường có sử dụng PHP, kể cả môi trường thử nghiệm, container và máy chủ ít được kiểm tra, kèm phiên bản đang chạy. Tiếp theo là cập nhật bản vá, nâng cấp lên một trong các phiên bản đã được vá; với hệ thống đang dùng PHP 8.1 trở về trước, phải lên kế hoạch chuyển sang nhánh còn hỗ trợ, đồng thời áp dụng biện pháp bảo vệ bổ sung trong thời gian chờ. Bước thứ ba là giảm thiểu hướng tấn công qua WAF và cấu hình hệ thống: bật và cập nhật quy tắc WAF, giới hạn kích thước và số lượng yêu cầu ở máy chủ web hoặc proxy, rà soát giới hạn bộ nhớ PHP, và kiểm thử kỹ trước khi triển khai rộng rãi. Cuối cùng, tăng cường giám sát nhật ký truy cập và hoạt động máy chủ, chú ý yêu cầu dung lượng lớn, tần suất truy cập tăng đột biến, lỗi hết bộ nhớ lặp lại, tiến trình PHP dừng đột ngột hoặc tệp lạ xuất hiện.
- Rà soát toàn bộ hệ thống PHP, kể cả môi trường thử nghiệm và container.
- Cập nhật bản vá hoặc nâng cấp lên nhánh PHP còn được hỗ trợ.
- Tối ưu cấu hình WAF, giới hạn yêu cầu và bộ nhớ PHP, kiểm thử trước khi áp dụng rộng rãi.
- Giám sát liên tục nhật ký truy cập và hoạt động máy chủ để phát hiện dấu hiệu bất thường.
Kết luận: bình tĩnh, làm đúng quy trình và coi đây là cơ hội nâng cấp bảo mật
Hai lỗ hổng PHP mới là lời nhắc mạnh mẽ rằng an ninh mạng doanh nghiệp không phải câu chuyện một lần rồi thôi, mà là quá trình liên tục. Việc phát hiện và công bố lỗ hổng là một phần bình thường của hệ sinh thái công nghệ; điều quan trọng là bản vá đã sẵn sàng, nhà cung cấp dịch vụ đã bắt đầu ứng phó và tổ chức có đủ thông tin để hành động. Khi cơ quan an ninh mạng khuyến cáo “ưu tiên lúc này là rà soát có hệ thống, vá lỗi đúng thứ tự ưu tiên và giám sát liên tục, thay vì lo lắng quá mức”, đó là định hướng rất thực tế cho doanh nghiệp. Nếu bạn đang vận hành website trên PHP, hãy coi đợt vá lỗi ưu tiên này là cơ hội để dọn dẹp hạ tầng, chuẩn hóa quy trình bảo mật website và nâng cấp những hệ thống đã hết vòng đời hỗ trợ. Bình tĩnh, làm đúng quy trình và bám sát hướng dẫn chính thức, doanh nghiệp có thể đi qua sự cố lỗ hổng PHP này mà không phải trả giá bằng gián đoạn hoạt động hay mất niềm tin của khách hàng.
