Hai lỗ hổng bảo mật nghiêm trọng trong PHP, được gọi chung là PHP2Shell, đã làm dấy lên nhiều lo ngại về an ninh mạng kể từ khi được công bố vào ngày 21/10/2026.

Hai lỗ hổng này, được xác định bằng mã CVE-2026-109618 và CVE-2026-109619, có thể cho phép kẻ tấn công thực thi mã độc trên máy chủ bị ảnh hưởng mà không cần tên đăng nhập hay mật khẩu. Cả hai đều được đánh giá ở mức nghiêm trọng với điểm bảo mật 9,2/10.

Các chuyên gia bảo mật đã ghi nhận nhiều nỗ lực khai thác lỗ hổng và một số cuộc tấn công thành công cũng đã được xác nhận. Điều này khiến PHP2Shell trở thành vấn đề đáng quan tâm đối với các doanh nghiệp đang sử dụng website, ứng dụng và hệ thống mạng dựa trên PHP.

Bài viết này sẽ giải thích PHP2Shell là gì, những hệ thống nào có thể bị ảnh hưởng, mức độ nghiêm trọng của các cuộc tấn công và những biện pháp doanh nghiệp nên thực hiện để bảo vệ hệ thống.

Nguồn: NCSC-NL – Theo dõi lỗ hổng PHP2Shell | Red Hat – Thông báo bảo mật PHP2Shell

1. PHP2Shell là gì?

PHP là một ngôn ngữ lập trình phổ biến, được sử dụng để xây dựng website và ứng dụng web. Nhiều nền tảng quen thuộc như WordPress, Drupal và Joomla đều sử dụng PHP.

PHP2Shell là tên gọi chung của hai lỗ hổng bảo mật nghiêm trọng được phát hiện trong PHP.

  • CVE-2026-109618: Lỗ hổng liên quan đến cách PHP quản lý bộ nhớ khi máy chủ không còn đủ bộ nhớ khả dụng. Trong một số điều kiện nhất định, kẻ tấn công có thể lợi dụng lỗi này để thực thi mã độc.
  • CVE-2026-109619: Lỗ hổng xảy ra khi PHP tiếp tục sử dụng thông tin bộ nhớ không còn hợp lệ. Kẻ tấn công có thể khai thác lỗi này để thực thi các lệnh trên máy chủ bị ảnh hưởng.

Cả hai lỗ hổng đều có thể dẫn đến nguy cơ thực thi mã từ xa (Remote Code Execution – RCE).

RCE cho phép kẻ tấn công thực thi mã trên máy chủ từ một vị trí khác. Trong trường hợp PHP2Shell, kẻ tấn công có thể thực hiện điều này mà không cần đăng nhập vào hệ thống.

Nếu khai thác thành công, kẻ tấn công có thể truy cập thông tin nhạy cảm, cài đặt phần mềm độc hại hoặc làm gián đoạn hoạt động của máy chủ. Mức độ thiệt hại thực tế phụ thuộc vào cấu hình máy chủ và quyền truy cập mà kẻ tấn công có được.

Một điểm quan trọng cần lưu ý là PHP2Shell ảnh hưởng trực tiếp đến PHP, chứ không chỉ một website hay plugin cụ thể. Vì vậy, việc cập nhật WordPress hoặc các phần mềm quản lý website khác chưa chắc đã khắc phục được lỗ hổng này.

Nguồn: Red Hat – Thông tin kỹ thuật về PHP2Shell | Wiz Research – Phân tích PHP2Shell

2. Những hệ thống nào có thể bị ảnh hưởng?

PHP2Shell có thể ảnh hưởng đến nhiều loại hệ thống đang sử dụng các phiên bản PHP có lỗ hổng.

Các hệ thống này bao gồm:

  • Website và ứng dụng web: Website doanh nghiệp, cửa hàng trực tuyến, cổng thông tin khách hàng và các dịch vụ được xây dựng bằng PHP.
  • Hệ thống quản trị nội dung (CMS): Website sử dụng WordPress, Drupal, Joomla và các nền tảng tương tự.
  • Hệ thống quản lý nội bộ: Hệ thống CRM, phần mềm quản lý doanh nghiệp và các ứng dụng được phát triển riêng bằng PHP.
  • Thiết bị mạng: Một số thiết bị tường lửa, bộ định tuyến và các thiết bị mạng khác có sử dụng PHP.

Doanh nghiệp không nên chỉ kiểm tra website mà còn cần rà soát các hệ thống nội bộ và phần mềm do bên thứ ba cung cấp.

Các phiên bản PHP bị ảnh hưởng

Ngày 21/10/2026, nhóm phát triển PHP đã phát hành các bản cập nhật bảo mật nhằm khắc phục hai lỗ hổng PHP2Shell chính.

Phiên bản PHP

Khuyến nghị

PHP 8.5

Cập nhật lên 8.5.12

PHP 8.4

Cập nhật lên 8.4.27

PHP 8.3

Cập nhật lên 8.3.36

PHP 8.2

Cập nhật lên 8.2.35

PHP 7.4, 8.0, 8.1

Nâng cấp hoặc sử dụng bản vá bảo mật đã được xác minh từ nhà cung cấp hệ thống

PHP 7.3 trở về trước

Nâng cấp lên phiên bản PHP còn được hỗ trợ

Các phiên bản PHP cũ đã ngừng nhận bản cập nhật bảo mật chính thức từ nhóm phát triển PHP. Tuy nhiên, một số nhà cung cấp hệ điều hành vẫn có thể cung cấp các bản vá riêng.

Doanh nghiệp nên liên hệ với nhà cung cấp dịch vụ hosting hoặc đội ngũ IT để xác nhận hệ thống đã được bảo vệ hay chưa.

Nguồn: Plesk – Thông báo bảo mật PHP2Shell | AWS – Hướng dẫn bảo mật PHP2Shell

3. PHP2Shell: Các sự kiện và thông tin cập nhật đáng chú ý

Kể từ khi PHP2Shell được công bố, các công ty bảo mật và cơ quan an ninh mạng đã liên tục theo dõi tình hình.

Dưới đây là một số diễn biến quan trọng.

Ngày 21/10: PHP phát hành bản cập nhật bảo mật

Nhóm phát triển PHP chính thức công bố các lỗ hổng và phát hành bản vá cho những phiên bản PHP còn được hỗ trợ.

Các công ty bảo mật cũng bắt đầu đưa ra cảnh báo, khuyến nghị doanh nghiệp cập nhật hệ thống càng sớm càng tốt.

Ngày 23/10: Phát hiện thêm một vấn đề bảo mật trong PHP

Nhóm phát triển PHP công bố một lỗ hổng khác có mã CVE-2026-115560, liên quan đến tính năng theo dõi tiến trình tải tệp lên trong phiên làm việc (session upload progress).

Theo AWS, lỗ hổng này chưa được khắc phục trong các bản cập nhật PHP2Shell phát hành ngày 21/10.

Vì vậy, doanh nghiệp cần tiếp tục theo dõi các thông báo bảo mật mới, thay vì cho rằng một bản cập nhật có thể giải quyết tất cả các vấn đề liên quan.

Ngày 27/10: Wiz công bố báo cáo về các nỗ lực tấn công

Wiz Research công bố báo cáo phân tích các hoạt động khai thác PHP2Shell.

Công ty ghi nhận những kẻ tấn công đang thử nhiều phương pháp khác nhau để khai thác lỗ hổng. Tuy nhiên, tại thời điểm đó, Wiz chưa ghi nhận một cuộc tấn công thành công hoàn chỉnh trong dữ liệu giám sát của mình.

Các nhà nghiên cứu cũng cảnh báo rằng việc khai thác thành công vẫn có thể xảy ra khi hệ thống đáp ứng một số điều kiện kỹ thuật nhất định.

Ngày 3/11: Ghi nhận các cuộc tấn công nhắm vào thiết bị mạng

Cơ quan An ninh mạng Singapore (Cyber Security Agency of Singapore – CSA) đã công bố cảnh báo về các cuộc tấn công đang diễn ra có liên quan đến PHP2Shell.

Theo cơ quan này, những kẻ tấn công đã nhắm vào các thiết bị tường lửa Palo Alto Networks có lỗ hổng, với giao diện quản trị có thể truy cập từ Internet.

Báo cáo cũng mô tả cách kẻ tấn công có thể kết hợp PHP2Shell với một lỗ hổng bảo mật khác để giành quyền kiểm soát cao hơn đối với hệ thống bị ảnh hưởng.

Điều này cho thấy PHP2Shell không chỉ là vấn đề bảo mật website mà còn có thể gây rủi ro cho các thiết bị mạng quan trọng của doanh nghiệp.

Nguồn: Wiz Research – Báo cáo khai thác PHP2Shell | CSA Singapore – Cảnh báo bảo mật PHP2Shell

4. Quy mô các nỗ lực tấn công và mức độ ảnh hưởng trên toàn cầu

PHP2Shell thu hút nhiều sự chú ý vì PHP được sử dụng rộng rãi và có nhiều hệ thống có nguy cơ bị ảnh hưởng.

Tuy nhiên, cần phân biệt rõ giữa số lần thử tấn công, số cuộc tấn công thành công và số hệ thống tồn tại lỗ hổng bảo mật.

Quy mô các nỗ lực tấn công (Scale of Attack Attempts)

Các nhà nghiên cứu bảo mật đã ghi nhận nhiều nỗ lực khai thác PHP2Shell.

Một số kẻ tấn công quét Internet để tìm máy chủ có lỗ hổng. Những kẻ khác cố gắng thực thi mã độc sau khi phát hiện mục tiêu có khả năng bị ảnh hưởng.

Tuy nhiên, không phải mọi nỗ lực tấn công đều thành công.

Theo báo cáo của Wiz Research ngày 27/10, nhiều cuộc tấn công thất bại vì việc khai thác thành công phụ thuộc vào một số điều kiện kỹ thuật như cấu hình PHP, cách sử dụng bộ nhớ và thiết lập máy chủ.

Tại thời điểm công bố báo cáo, Wiz chưa xác nhận một cuộc tấn công thành công hoàn chỉnh trong dữ liệu giám sát của mình.

Điều này không có nghĩa tất cả các hệ thống đều an toàn. Những báo cáo sau đó đã cho thấy hoạt động khai thác thực tế nhắm vào một số thiết bị mạng.

Mức độ ảnh hưởng trên toàn cầu (Global Exposure Scale)

Một vấn đề quan trọng khác là có bao nhiêu hệ thống trên thế giới vẫn đang tồn tại lỗ hổng.

Theo Wiz Research, khoảng một tuần sau khi PHP2Shell được công bố:

  • Số lượng máy chủ có lỗ hổng và có thể truy cập từ Internet mỗi ngày đã giảm khoảng 67% trong dữ liệu giám sát của Wiz.
  • Số lượng tổ chức có ít nhất một hệ thống tồn tại lỗ hổng và có thể truy cập từ Internet đã giảm khoảng 47,9%trong nhóm được Wiz theo dõi.

Những con số này cho thấy nhiều tổ chức đã nhanh chóng thực hiện các biện pháp khắc phục.

Tuy nhiên, kết quả chỉ phản ánh những hệ thống nằm trong phạm vi giám sát của Wiz, không thể hiện chính xác tổng số hệ thống có lỗ hổng trên toàn thế giới.

Phạm vi ảnh hưởng không chỉ giới hạn ở website

Trung tâm An ninh mạng Quốc gia Hà Lan (NCSC-NL) cũng đang theo dõi các sản phẩm phần mềm có thể bị ảnh hưởng bởi PHP2Shell.

Tính đến ngày 2/11/2026, danh sách theo dõi ghi nhận:

  • 930 sản phẩm đang được theo dõi.
  • 215 sản phẩm được xác nhận có lỗ hổng.
  • 167 sản phẩm đã có bản vá.

Những số liệu này cho thấy PHP2Shell có thể ảnh hưởng đến nhiều loại phần mềm và thiết bị khác nhau, không chỉ website.

Đây cũng là lý do doanh nghiệp cần kiểm tra toàn bộ hệ thống công nghệ, bao gồm cả phần mềm và thiết bị do các nhà cung cấp bên thứ ba cung cấp.

Nguồn: Wiz Research – Hoạt động tấn công và xu hướng khắc phục | NCSC-NL – Theo dõi sản phẩm bị ảnh hưởng

5. PHP2Shell có thể gây ra những rủi ro gì cho doanh nghiệp?

Mức độ ảnh hưởng của PHP2Shell phụ thuộc vào hệ thống có lỗ hổng và khả năng khai thác thành công của kẻ tấn công.

Doanh nghiệp cần chú ý đến bốn rủi ro chính.

Truy cập hệ thống trái phép

Kẻ tấn công có thể thực thi các lệnh trên máy chủ có lỗ hổng mà không được cấp quyền.

Tùy theo cấu hình bảo mật của máy chủ, điều này có thể tạo điều kiện để chúng truy cập các ứng dụng hoặc hệ thống liên kết khác.

Rò rỉ dữ liệu nhạy cảm

Một cuộc tấn công thành công có thể cho phép kẻ tấn công truy cập thông tin được lưu trữ hoặc xử lý trên hệ thống bị ảnh hưởng.

Những thông tin này có thể bao gồm dữ liệu doanh nghiệp, cấu hình hệ thống hoặc thông tin đăng nhập.

Gián đoạn hoạt động kinh doanh

Kẻ tấn công có thể khiến website hoặc ứng dụng hoạt động không ổn định, thậm chí ngừng hoạt động.

Đối với những doanh nghiệp phụ thuộc vào các dịch vụ trực tuyến, sự cố này có thể ảnh hưởng đến hoạt động hằng ngày và trải nghiệm khách hàng.

Rủi ro đối với hệ thống mạng

Một số thiết bị mạng cũng sử dụng PHP.

Nếu kẻ tấn công giành được quyền kiểm soát một thiết bị có lỗ hổng, rủi ro có thể lan sang các hệ thống được kết nối khác.

Những báo cáo gần đây liên quan đến thiết bị tường lửa cho thấy vì sao doanh nghiệp cần kiểm tra cả hệ thống mạng, thay vì chỉ tập trung vào website.

Nguồn: Red Hat – Thông báo bảo mật | CSA Singapore – Cảnh báo an ninh mạng

6. Doanh nghiệp cần làm gì ngay lúc này?

Doanh nghiệp nên nhanh chóng kiểm tra hệ thống và áp dụng các bản cập nhật bảo mật cần thiết.

Bước 1: Kiểm tra các hệ thống sử dụng PHP

Lập danh sách các website, ứng dụng, hệ thống nội bộ và thiết bị mạng có thể sử dụng PHP.

Ưu tiên kiểm tra những hệ thống có thể truy cập từ Internet vì đây thường là các mục tiêu dễ bị kẻ tấn công tiếp cận hơn.

Nếu không chắc hệ thống nào đang sử dụng PHP, doanh nghiệp nên liên hệ với đội ngũ IT, đơn vị phát triển website hoặc nhà cung cấp dịch vụ hosting.

Bước 2: Cập nhật PHP

Kiểm tra phiên bản PHP đang được sử dụng trên từng hệ thống.

Cài đặt bản cập nhật bảo mật mới nhất dành cho phiên bản PHP còn được hỗ trợ hoặc sử dụng bản vá đã được xác minh từ nhà cung cấp hệ thống.

Nếu phiên bản PHP đã ngừng được hỗ trợ, doanh nghiệp nên lên kế hoạch nâng cấp lên phiên bản phù hợp.

Bước 3: Khởi động lại các dịch vụ PHP

Sau khi cài đặt bản cập nhật, cần khởi động lại hoặc tải lại các dịch vụ PHP liên quan.

Bước này rất quan trọng vì một số tiến trình PHP cũ có thể vẫn tiếp tục hoạt động ngay cả khi bản cập nhật đã được cài đặt.

Đội ngũ IT cần xác nhận hệ thống thực sự đang chạy phiên bản PHP đã được vá.

Bước 4: Kiểm tra dấu hiệu bị tấn công

Cập nhật PHP có thể ngăn chặn các cuộc tấn công mới khai thác những lỗ hổng đã được khắc phục, nhưng không tự động loại bỏ hậu quả từ các cuộc tấn công trước đó.

Đội ngũ IT nên kiểm tra nhật ký hoạt động của máy chủ (server logs) và tìm kiếm những dấu hiệu bất thường như:

  • Xuất hiện các tệp không rõ nguồn gốc trên máy chủ.
  • Có những lệnh hoặc chương trình không mong muốn đang chạy.
  • Phát sinh các kết nối bất thường đến máy chủ bên ngoài.
  • Có thay đổi không được phép trong các thiết lập hệ thống quan trọng.

Nếu phát hiện hoạt động đáng ngờ, doanh nghiệp cần tiến hành kiểm tra và xử lý trước khi đưa hệ thống bị ảnh hưởng trở lại hoạt động bình thường.

Bước 5: Rà soát mật khẩu và quyền truy cập

Nếu có dấu hiệu hệ thống đã bị xâm nhập, cần kiểm tra xem mật khẩu, API key hoặc các thông tin nhạy cảm khác có nguy cơ bị lộ hay không.

Thay đổi những thông tin xác thực có khả năng bị ảnh hưởng khi cần thiết, đồng thời rà soát quyền truy cập vào các hệ thống quan trọng.

Bước 6: Áp dụng biện pháp bảo vệ tạm thời nếu chưa thể cập nhật

Nếu chưa thể cập nhật hệ thống ngay lập tức, doanh nghiệp nên cân nhắc hạn chế truy cập từ Internet hoặc áp dụng thêm các biện pháp bảo vệ mạng.

Tường lửa ứng dụng web (Web Application Firewall – WAF) có thể giúp chặn một số yêu cầu truy cập độc hại.

Tuy nhiên, các biện pháp bảo vệ tạm thời không thể thay thế việc cài đặt bản vá bảo mật.

Nguồn: AWS Security Blog – Hướng dẫn bảo vệ và giảm thiểu rủi ro PHP2Shell

7. Một số lưu ý bổ sung dành cho đội ngũ IT

Ngoài việc cập nhật PHP, đội ngũ kỹ thuật cần chú ý thêm một số vấn đề sau.

Cấu hình máy chủ PHP: PHP có thể hoạt động theo nhiều cách khác nhau, bao gồm PHP-FPM, Apache mod_php và php-cgi. Mức độ rủi ro có thể khác nhau tùy theo cấu hình. Trong đó, Apache mod_php được xác định là một trong những cấu hình có nguy cơ cao.

Thiết lập bảo mật tạm thời: Một số báo cáo bảo mật đề xuất thay đổi cấu hình PHP để giảm khả năng bị tấn công. Tuy nhiên, những thay đổi này có thể không bảo vệ hoàn toàn hệ thống và cần được kiểm tra kỹ trước khi áp dụng.

Phần mềm của bên thứ ba: Một số sản phẩm phần mềm và thiết bị mạng có tích hợp PHP bên trong. Đội ngũ IT nên kiểm tra thông báo bảo mật và các bản cập nhật từ nhà sản xuất.

Giám sát an ninh hệ thống: Ngay cả sau khi cập nhật PHP, doanh nghiệp vẫn cần tiếp tục kiểm tra nhật ký hệ thống và theo dõi các hoạt động bất thường. Điều này đặc biệt quan trọng vì hệ thống có thể đã bị tấn công trước khi bản vá được cài đặt.

Nguồn: NCSC-NL – Theo dõi PHP2Shell | Red Hat – Thông tin bảo mật PHP2Shell

8. Kết luận: Vì sao doanh nghiệp cần quan tâm đến PHP2Shell?

PHP2Shell cho thấy một lỗ hổng bảo mật trong phần mềm được sử dụng rộng rãi có thể ảnh hưởng đến nhiều doanh nghiệp cùng lúc.

Mặc dù các bản vá bảo mật đã được phát hành, doanh nghiệp vẫn cần đảm bảo tất cả hệ thống có nguy cơ bị ảnh hưởng đều được kiểm tra và cập nhật đúng cách.

Những báo cáo gần đây về hoạt động khai thác lỗ hổng cũng cho thấy việc chờ đến khi xảy ra sự cố mới thực hiện các biện pháp bảo vệ là không an toàn.

Để giảm thiểu rủi ro, doanh nghiệp cần thường xuyên rà soát hệ thống, cài đặt các bản cập nhật bảo mật, theo dõi hoạt động bất thường và cập nhật thông tin từ những nguồn an ninh mạng đáng tin cậy.

Quan trọng hơn hết, an ninh mạng cần là một phần trong hoạt động quản lý và vận hành hệ thống IT thường xuyên, thay vì chỉ được quan tâm khi xảy ra sự cố.

Việc duy trì hệ thống được cập nhật và xây dựng quy trình xử lý sự cố rõ ràng sẽ giúp doanh nghiệp bảo vệ dữ liệu, đảm bảo hoạt động ổn định và giảm thiểu những rủi ro bảo mật trong tương lai.