Rủi ro nằm ở máy chủ, không phải thiết bị người dùng
Lỗ hổng PHP là lỗi bảo mật trong ngôn ngữ lập trình PHP có thể bị khai thác qua các yêu cầu được tạo đặc biệt để chiếm quyền thực thi trên máy chủ web. Hai lỗ hổng CVE-2026-109618 và CVE-2026-109619 được chấm 9,2/10 theo thang CVSS v4.0, mức gần cao nhất; nếu khai thác thành công, kẻ tấn công có thể thực thi mã từ xa mà không cần đăng nhập. Đây không phải rủi ro có thể gạt sang một bên vì cuộc tấn công cần điều kiện kỹ thuật nhất định: máy chủ PHP vẫn là điểm có thể bị xâm nhập, kéo theo nguy cơ với website và dữ liệu mà nó xử lý. Lỗ hổng nằm ở phía máy chủ, không trực tiếp ảnh hưởng đến điện thoại, máy tính hay trình duyệt của người dùng. Vì vậy, ưu tiên rõ ràng là hành động từ phía đơn vị vận hành, không yêu cầu người dùng ngừng truy cập dịch vụ.
Bản vá đã có; hệ thống cũ cần được chú ý trước
Nhóm phát triển PHP công bố bản phát hành bảo mật ngày 21/10/2026, với các bản đã vá gồm PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Bản vá PHP đã sẵn sàng, nhưng việc phát hành không tự bảo vệ những máy chủ chưa cập nhật: chúng vẫn đối mặt nguy cơ bị tấn công. Quản trị viên cần đặc biệt lưu ý các nhánh đã hết hỗ trợ chính thức như PHP 7.4, 8.0 và 8.1; còn PHP 7.3 trở về trước không có bản vá chính thức từ dự án PHP. Một số nhà cung cấp hỗ trợ mở rộng có thể phát hành sửa lỗi riêng, nhưng đó không nên trở thành lý do để trì hoãn kế hoạch chuyển sang nhánh còn được hỗ trợ. WAF và giới hạn yêu cầu có thể giảm thiểu rủi ro trong thời gian chuyển tiếp, song không thay thế việc nâng cấp.
Ba ưu tiên để quản trị viên xử lý
Muốn bảo mật máy chủ hiệu quả, trước hết phải biết PHP đang chạy ở đâu. Đừng chỉ kiểm tra máy chủ sản xuất: hệ thống thử nghiệm, container và máy chủ ít được chú ý cũng có thể bị bỏ quên, kéo dài thời gian phơi nhiễm. Sau khi lập danh sách, đối chiếu phiên bản và tình trạng hỗ trợ để xếp thứ tự xử lý; ưu tiên cập nhật lên bản đã vá, rồi kiểm tra phiên bản thực tế sau triển khai thay vì mặc định rằng quy trình nâng cấp đã thành công. Với hệ thống chưa thể nâng cấp ngay, cập nhật quy tắc WAF, giới hạn kích thước và số lượng yêu cầu ở máy chủ web hoặc proxy, đồng thời rà soát giới hạn bộ nhớ PHP. Kiểm thử các thay đổi để tránh làm gián đoạn ứng dụng. Đây là lớp giảm thiểu tạm thời, không phải phương án thay cho bản vá.
- Kiểm kê máy chủ, website, ứng dụng, môi trường thử nghiệm và container có sử dụng PHP; ghi lại phiên bản đang chạy.
- Cập nhật lên phiên bản đã vá phù hợp; với nhánh hết hỗ trợ, lập kế hoạch nâng cấp sang phiên bản còn được hỗ trợ.
- Xác minh phiên bản sau triển khai, rà soát nhật ký và theo dõi yêu cầu bất thường, lỗi hết bộ nhớ lặp lại, tiến trình PHP dừng đột ngột hoặc tệp lạ.
Đừng để dịch vụ thuê ngoài thành điểm mù
Doanh nghiệp thuê hosting không nên cho rằng nhà cung cấp đã xử lý chỉ vì họ có thể tự cập nhật máy chủ. Hãy yêu cầu xác nhận phiên bản PHP đang chạy và tình trạng bản vá trên môi trường cụ thể của mình; câu trả lời cần đủ rõ để đối chiếu với các phiên bản đã sửa. Với máy chủ tự vận hành, giám sát nhật ký sau cập nhật giúp phát hiện dấu hiệu bất thường sớm, nhưng không thể thay cho việc vá. Người dùng Internet không cần cập nhật PHP trên thiết bị cá nhân và có thể tiếp tục sử dụng dịch vụ thông thường; tuy vậy, nếu máy chủ cung cấp dịch vụ bị xâm nhập, tài khoản hoặc dữ liệu vẫn có thể chịu ảnh hưởng. Tổ chức nên xử lý lỗ hổng PHP như một việc cần hoàn tất và xác minh, không phải một cảnh báo có thể đóng lại chỉ bằng biện pháp phòng vệ tạm thời.
