Cảnh báo hai lỗ hổng PHP nghiêm trọng, website cần cập nhật sớm
Hai lỗ hổng PHP với mức độ nghiêm trọng 9,2/10 đã có bản vá. Cơ quan chức năng khuyến nghị tổ chức, doanh nghiệp sớm rà soát hệ thống.
Tối 22-10, thông tin từ Cục An ninh mạng và Hiệp hội An ninh mạng quốc gia cho biết hai lỗ hổng bảo mật mang mã CVE-2026-109618 và CVE-2026-109619 trong ngôn ngữ lập trình PHP đã có bản vá chính thức.
Người dùng Internet thông thường không bị ảnh hưởng trực tiếp và có thể tiếp tục sử dụng bình thường. Các tổ chức, doanh nghiệp vận hành website có sử dụng PHP nên rà soát hệ thống và cập nhật bản vá sớm.
Không phải website nào dùng PHP cũng bị khai thác
PHP là ngôn ngữ lập trình phổ biến, đứng sau rất nhiều website, hệ thống thương mại điện tử, cổng thông tin và các nền tảng quản trị nội dung.
Ngày 21-10, nhóm phát triển PHP công bố bản phát hành bảo mật cho hai lỗ hổng mức nghiêm trọng. Các lỗ hổng đều được chấm 9,2 điểm theo thang CVSS v4.0, thang đo mức độ nghiêm trọng của lỗ hổng, tối đa là 10 điểm. Nếu bị khai thác, kẻ tấn công có thể thực thi mã từ xa trên máy chủ web chạy PHP mà không cần đăng nhập.
Lỗ hổng do Hãng bảo mật Wiz cùng một số nhóm nghiên cứu phát hiện, với sự hỗ trợ của các công cụ trí tuệ nhân tạo AI, đã được thông báo cho nhóm phát triển PHP trước khi công bố.
Các phiên bản PHP đã được vá gồm 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Với các phiên bản 7.4, 8.0 và 8.1 (đã hết hỗ trợ chính thức), nhóm PHP cung cấp bản sửa ở dạng mã nguồn; nhiều bản phân phối Linux như AlmaLinux, Red Hat, Debian, Ubuntu và các nhà cung cấp dịch vụ hỗ trợ dài hạn đã phát hành gói cập nhật. Các phiên bản cũ hơn (từ 7.3 trở về trước) không được vá và cần được nâng cấp.
PHP hiện được dùng rộng rãi. Tuy nhiên nguy cơ ảnh hưởng với từng hệ thống phụ thuộc vào nhiều yếu tố, như phiên bản PHP đang sử dụng hay mô hình triển khai website.
Việc khai thác lỗ hổng cũng đòi hỏi phải gửi những yêu cầu được chế tạo đặc biệt và kiểm soát chính xác trạng thái bộ nhớ. Ngoài ra với các hệ thống có tường lửa ứng dụng web (WAF) có khả năng chặn lọc các yêu cầu bất thường, nếu được cấu hình tốt cũng giảm đáng kể khả năng bị tấn công. Vì vậy việc nhận định website PHP nào đang gặp nguy hiểm cần được đánh giá cho từng hệ thống cụ thể.
Sau khi thông tin được công bố, nhiều nhà cung cấp dịch vụ lưu trữ web (hosting) và hạ tầng đám mây đã chủ động cập nhật bản vá cho máy chủ, và bổ sung quy tắc chặn trên hệ thống WAF để giảm thiểu các hướng tấn công đã biết. Khách hàng thuê dịch vụ hosting nên liên hệ nhà cung cấp để xác nhận phiên bản PHP đang chạy và tình trạng bản vá.
Khuyến nghị cho tổ chức, doanh nghiệp
Các đơn vị tự vận hành máy chủ cần chủ động rà soát toàn bộ hệ thống: Lập danh sách các máy chủ, website, ứng dụng và môi trường (kể cả môi trường thử nghiệm, container, máy chủ ít được quan tâm) có sử dụng PHP, kèm phiên bản đang chạy. Nhiều sự cố xảy ra ở những hệ thống bị lãng quên. Đồng thời cập nhật bản vá, nâng cấp lên một trong các phiên bản đã vá nêu trên.
Để giảm thiểu hướng tấn công qua WAF và cấu hình hệ thống, cần bật và cập nhật quy tắc WAF, giới hạn kích thước và số lượng yêu cầu ở máy chủ web hoặc proxy, và rà soát các giới hạn bộ nhớ của PHP. Cần kiểm thử kỹ trước khi áp dụng, để tránh ảnh hưởng đến hoạt động bình thường của ứng dụng.
Cùng với đó tăng cường giám sát nhật ký truy cập, theo dõi các yêu cầu bất thường, như yêu cầu có dung lượng lớn, tần suất cao, lỗi hết bộ nhớ lặp lại, tiến trình PHP bị dừng đột ngột, hoặc tệp lạ xuất hiện trên máy chủ.
