Tin kỹ thuật
AI phát hiện hai lỗ hổng PHP nghiêm trọng, bản vá ra ngày 21/10/2026: ai có website cần làm gì ngay
Th10
Ngày 21/10/2026, nhóm PHP phát hành bản vá cho hai lỗ hổng cho phép chiếm quyền thực thi mã từ xa mà không cần đăng nhập. Điều đáng chú ý: cả hai lỗi này đã nằm im trong mã nguồn PHP suốt hơn hai mươi năm, và chúng được tìm ra nhờ các mô hình AI chứ không phải bằng cách rà soát thủ công như trước.
Chúng tôi viết bài này vì PHP là nền tảng chạy phần lớn website đang hoạt động, trong đó có rất nhiều trang bán hàng, trang giới thiệu cửa hàng và hệ thống quản lý nội bộ của khách hàng tại Cà Mau. Bài viết tóm tắt đúng những gì các nguồn chính thống đã công bố, và quan trọng hơn là nói rõ ai cần hành động, ai thì không cần làm gì cả.
Chuyện gì đã xảy ra trong ngày 21/10/2026
Theo công bố của công ty bảo mật Wiz (thuộc Google) và tường thuật của TechCrunch, hai lỗ hổng được gom chung dưới tên gọi PHP2Shell. Mốc thời gian được Wiz công khai như sau: lỗi đầu tiên được phát hiện ngày 19/8/2026; một ngày sau nhóm nghiên cứu dựng được kịch bản chiếm quyền máy chủ Drupal mà không cần xác thực; ngày 21/8/2026 làm được điều tương tự với WordPress. Báo cáo được gửi cho nhóm bảo mật PHP ngày 24/8/2026, PHP xác nhận và bắt đầu phối hợp xử lý từ 21/9/2026, và tới ngày 21/10/2026 thì bản vá cùng thông tin chi tiết được công bố cùng lúc.
Cùng ngày, Cơ quan An ninh Quốc gia Mỹ (NSA) phát cảnh báo về hai lỗ hổng này, đánh giá chúng ở mức nghiêm trọng vì kẻ tấn công có thể chạm tới hệ thống tệp của máy chủ hoặc cơ sở dữ liệu kết nối với nó. NSA còn khuyến nghị một phương án khá mạnh: nếu chưa thể vá ngay, nên tạm đưa website xuống offline cho tới khi vá được.
Hai lỗ hổng đó là gì
Wiz công bố hai mã lỗi. Lỗ hổng thứ nhất, CVE-2026-109618, nằm ở phần PHP xử lý tiến trình tải tệp lên; nó là lỗi dùng vùng nhớ sau khi đã giải phóng, dẫn tới rò rỉ nội dung bộ nhớ tiến trình và trong các thử nghiệm đã cho phép thực thi mã từ xa không cần xác thực trên WordPress, Drupal và Joomla. Lỗ hổng thứ hai, CVE-2026-109619, liên quan tới cơ chế ghi vết lỗi nghiêm trọng kết hợp với một lỗi nhầm kiểu dữ liệu trong OPcache, và cũng đã được chứng minh có thể chiếm quyền máy chủ WordPress và Drupal.
Mức điểm nghiêm trọng CVSS được nêu lên tới 9.2. Về phạm vi, Wiz cho biết gần như mọi phiên bản PHP đều bị ảnh hưởng bởi ít nhất một trong hai lỗi, có lỗi còn tồn tại từ thời PHP 5.4; TechCrunch dẫn lại rằng các lỗi này hiện diện trong mọi bản PHP kể từ PHP 5 ra mắt năm 2004. PHP được dùng cho khoảng 70% website trên Internet, nên con số máy chủ cần vá được mô tả ở mức hàng chục triệu.
Một điểm cần nói cho đúng: tại thời điểm công bố, OpenAI cho biết các lỗi được tìm ra trước khi tin tặc biết tới và chưa có báo cáo khai thác ngoài thực tế. Nhưng từ lúc công bố trở đi thì ai cũng biết, nên đây thực sự là một cuộc đua vá lỗi.
Vai trò của AI trong vụ này
Đây là phần khiến tin này vượt ra khỏi phạm vi giới bảo mật. Wiz cho biết họ dùng tác tử nội bộ Wiz Atlas cùng hai mô hình Gemini 4 Argon của Google và GPT-5.6 Sol của OpenAI; Gemini 4 Argon được ghi nhận góp phần ở cả bốn khâu: phát hiện, dựng mã khai thác thử, phát hiện dấu hiệu tấn công và kiểm tra bản vá. Phía OpenAI, qua chương trình mang tên Patch the Planet, đã hợp tác với một công ty kiểm thử bảo mật và dùng GPT-5.6 Sol để tìm ra một trong hai lỗi.
Wiz đồng thời đưa ra nhận định đáng suy nghĩ: những lỗi kiểu này trước đây rất khó khai thác trong thực tế, và chính độ khó đó là hàng rào bảo vệ; với AI thì hàng rào ấy không còn nữa. Nói cách khác, AI vừa giúp bên phòng thủ tìm ra lỗi 20 năm tuổi, vừa hạ thấp trình độ cần thiết để bên tấn công lợi dụng chúng. Chúng tôi nhắc điều này không để gây lo sợ, mà để bạn hiểu vì sao từ nay khoảng thời gian từ lúc một lỗ hổng được công bố đến lúc có người khai thác sẽ ngày càng ngắn, và vì sao thói quen cập nhật đúng hạn trở nên quan trọng hơn trước.
Bảng tóm tắt thông tin kỹ thuật
| Nội dung | Thông tin đã được công bố |
|---|---|
| Mã lỗ hổng | CVE-2026-109618 và CVE-2026-109619 |
| Tên gọi chung | PHP2Shell |
| Mức nghiêm trọng | CVSS tới 9.2 |
| Hậu quả | Thực thi mã từ xa không cần xác thực, rò rỉ bộ nhớ tiến trình |
| Phạm vi | Gần như mọi bản PHP, lỗi có từ thời PHP 5 |
| Ngày công bố và có bản vá | 21/10/2026 |
| Phiên bản hiện hành được nêu | PHP 8.5.12 (PHP 8.1 và cũ hơn đã hết hỗ trợ) |
| Cách xử lý duy nhất trọn vẹn | Cập nhật PHP lên bản đã vá |
Lưu ý rằng các nguồn chỉ nêu phiên bản hiện hành là PHP 8.5.12 mà không liệt kê số hiệu bản vá cho từng nhánh cũ. Nếu website của bạn đang chạy nhánh PHP 8.2, 8.3 hay 8.4, hãy hỏi nhà cung cấp hosting về bản vá tương ứng của nhánh đó thay vì tự suy đoán số phiên bản.
Khách hàng ở Cà Mau bị ảnh hưởng gì và nên làm gì
Hãy phân loại cho gọn. Nếu bạn có website, dù là trang bán hàng WordPress, trang giới thiệu cửa hàng hay một hệ thống quản lý nội bộ chạy trên máy chủ web, thì việc cần làm là đăng nhập trang quản trị hosting, xem website đang chạy PHP phiên bản nào, rồi liên hệ nhà cung cấp hosting để nâng lên bản đã vá. WordPress đã nói rõ đây không phải lỗi của WordPress, nên cập nhật plugin hay theme không giải quyết được vấn đề; thứ cần cập nhật là PHP trên máy chủ. Trong lúc chờ, một số nhà cung cấp hạ tầng như Cloudflare, Fastly, Vercel và Google đã công bố biện pháp giảm thiểu tạm thời cho khách hàng của họ.
Nếu bạn tự dựng máy chủ web trong cửa hàng hoặc công ty, ví dụ một máy để bàn chạy phần mềm quản lý bán hàng có giao diện web nội bộ, thì máy đó cũng cần được rà. Người quản trị nên theo dõi các dấu hiệu bất thường mà Wiz gợi ý: các yêu cầu multipart lạ đi kèm lỗi vượt giới hạn bộ nhớ, lỗi HTTP 500 lặp lại nhiều lần, cookie phiên có kích thước lớn hoặc dị dạng, và các tiến trình PHP tự khởi động lại không rõ lý do.
Nếu bạn dùng đầu ghi camera, NAS hoặc thiết bị mạng có giao diện web, một số thiết bị cũ dùng PHP bên trong firmware. Việc bạn làm được chỉ là kiểm tra trang hỗ trợ của hãng xem có firmware mới hay không, và quan trọng hơn là đừng mở cổng quản trị của thiết bị ra Internet. Xem camera từ xa nên đi qua ứng dụng và dịch vụ mây của hãng, không nên NAT cổng web của đầu ghi ra ngoài. Nếu hệ thống của bạn đang mở cổng kiểu đó, hãy để chúng tôi xem lại cấu hình thiết bị mạng và đầu ghi camera giúp bạn.
Những trường hợp bạn không cần làm gì thêm
Chúng tôi muốn nói rõ điều này, vì mỗi lần có tin bảo mật lớn là lại có người bán hàng dựa vào nỗi lo của khách. Đây là lỗ hổng của phần mềm máy chủ web, không phải lỗi của Windows, không phải virus trên máy tính cá nhân. Cho nên:
- Nếu bạn chỉ dùng máy tính để làm việc, in ấn, xem camera, bán hàng tại quầy và không sở hữu website nào, bạn không cần mua gì thêm vì tin này.
- Bạn không cần cài phần mềm diệt virus mới, không cần mua máy mới, không cần nâng cấp cấu hình máy.
- Bạn không cần trả tiền cho bất kỳ ai gọi điện tự nhận là nhân viên kỹ thuật của một hãng nào đó đề nghị vá lỗi từ xa. Sau mỗi tin bảo mật lớn thường xuất hiện các cuộc gọi và tin nhắn lừa đảo ăn theo, nay lại thêm giọng nói do AI tạo ra nghe rất thật.
Việc nên làm, nếu bạn muốn làm gì đó có ích, là những thứ cơ bản lâu nay: bật cập nhật tự động cho Windows, sao lưu dữ liệu quan trọng ra một ổ rời, và bảo đảm máy tính cùng đầu ghi camera có bộ lưu điện để không bị mất dữ liệu khi điện đột ngột mất giữa lúc đang cập nhật.
Câu hỏi thường gặp
Website của tôi đang chạy PHP 7.4, có vá được không?
PHP 7.4 đã hết hỗ trợ từ lâu và các nguồn cho biết PHP 8.1 trở xuống cũng không còn được hỗ trợ, nghĩa là sẽ không có bản vá cho nhánh đó. Cách duy nhất là nâng website lên nhánh PHP còn được hỗ trợ, và việc này cần kiểm tra trước vì theme hoặc plugin cũ có thể không tương thích. Hãy sao lưu toàn bộ site trước khi nâng.
Tôi thuê hosting, tự tôi vá được không?
Thường thì bạn chỉ chọn được phiên bản PHP trong trang quản trị hosting chứ không cài bản vá. Nếu danh sách phiên bản ở đó chưa có bản mới, bạn cần nhà cung cấp cập nhật phía máy chủ. Hãy gửi yêu cầu kèm hai mã lỗ hổng trong bài này để bộ phận kỹ thuật biết chính xác bạn đang hỏi về việc gì.
Làm sao biết website của tôi đã bị tấn công hay chưa?
Không có cách tự kiểm tra đơn giản và chắc chắn. Tại thời điểm công bố chưa ghi nhận khai thác ngoài thực tế, nhưng nếu website của bạn xuất hiện lỗi HTTP 500 lặp lại bất thường, tiến trình PHP liên tục khởi động lại, hoặc có tệp lạ mới xuất hiện trong thư mục web, hãy nhờ người có chuyên môn rà soát log máy chủ.
Vụ này có liên quan gì tới máy tính AI hay card đồ họa không?
Không. AI ở đây là công cụ mà các nhóm nghiên cứu dùng trên hạ tầng của họ, chứ không đòi hỏi gì ở máy tính của bạn. Nếu có ai nói bạn phải mua máy có chip AI để tránh lỗ hổng này, đó là thông tin sai.
Nếu bạn đang quản lý website cho cửa hàng, cơ sở kinh doanh hoặc có hệ thống máy tính, camera, thiết bị mạng cần rà lại cấu hình sau tin này, hãy gọi cho bộ phận hỗ trợ kỹ thuật của chúng tôi theo số 0839 211 242. Cửa hàng Tawin Thế Giới Số ở 100 Ngô Quyền, phường An Xuyên, TP. Cà Mau, mở cửa từ 7h30 đến 17h. Bạn cũng có thể ghé trực tiếp để chúng tôi kiểm tra giúp hệ thống mạng và đầu ghi, hoặc tư vấn thêm về laptop văn phòng nếu cần một máy riêng dùng cho công việc quản trị.
