PHP phát hành bản vá khẩn cấp cho lỗ hổng nghiêm trọng HTTP2Shell
PHP vừa phát hành các bản build Windows mới nhằm khắc phục lỗ hổng HTTP2Shell (CVE-2026-111497) trong thư viện Brotli, đe dọa thực thi mã từ xa.

- Lỗ hổng HTTP2Shell: Ảnh hưởng đến thư viện nén Brotli, cho phép ghi ngoài phạm vi (out-of-bounds write) với điểm CVSS v4.0 là 9.2.
- Phạm vi ảnh hưởng: Lỗ hổng không chỉ giới hạn ở PHP mà còn xuất hiện trong Node.js, Python, .NET, FFmpeg và nhiều nền tảng khác.
- Khuyến nghị: Quản trị viên cần cập nhật ngay các bản build PHP Windows mới nhất (phiên bản -1) và kiểm tra các thư viện Brotli đi kèm.
Nhóm phát triển PHP vừa chính thức công bố các bản build Windows cập nhật nhằm giải quyết lỗ hổng bảo mật nghiêm trọng được định danh là HTTP2Shell. Các gói cập nhật bao gồm PHP 8.5.12-1, 8.4.27-1, 8.3.36-1 và 8.2.35-1, được phát hành vào ngày 26 tháng 10 năm 2026. Điểm cốt lõi của bản cập nhật này là tích hợp thư viện Brotli phiên bản 1.2.1, trực tiếp khắc phục lỗ hổng CVE-2026-111497.
Phân tích kỹ thuật lỗ hổng HTTP2Shell (CVE-2026-111497)
Lỗ hổng HTTP2Shell xuất phát từ thư viện nén Brotli của Google, một công cụ phổ biến được sử dụng để giải nén dữ liệu trong nhiều ứng dụng. Bản chất của lỗi này là một dạng out-of-bounds write (ghi ngoài phạm vi bộ nhớ), nơi mã thực thi ghi dữ liệu vượt quá vùng nhớ được cấp phát ban đầu. Ban đầu được phát hiện và công bố bởi cộng đồng Node.js dưới tên gọi Node2Shell, lỗ hổng này sau đó được xác định là một vấn đề hệ thống rộng khắp.
Theo đánh giá từ các nhà nghiên cứu bảo mật, lỗ hổng này đạt mức điểm CVSS v4.0 là 9.2/10, xếp loại nghiêm trọng. Tùy thuộc vào cấu hình hệ thống, kẻ tấn công có thể khai thác lỗ hổng để làm treo ứng dụng, rò rỉ nội dung bộ nhớ hoặc thực thi mã từ xa (RCE) mà không cần xác thực.
| Loại thực thể | Mã định danh / Chỉ số | Mô tả tác động |
|---|---|---|
| CVE-2026-111497 | HTTP2Shell | Lỗi ghi ngoài phạm vi trong thư viện Brotli |
| CVE-2026-109618 | Critical RCE | Lỗ hổng thực thi mã từ xa (đã vá trước đó) |
| CVE-2026-109619 | Critical RCE | Lỗ hổng thực thi mã từ xa (đã vá trước đó) |
Cơ chế xâm nhập trên môi trường Windows
Tài liệu tư vấn bảo mật của PHP giải thích rằng lỗ hổng này có thể tiếp cận môi trường PHP trên Windows thông qua tiện ích mở rộng cURL khi tính năng tự động giải nén phản hồi HTTP được kích hoạt. Mặc dù theo tài liệu của libcurl, thiết lập này mặc định bị vô hiệu hóa, nhưng nhiều ứng dụng và thư viện client HTTP có thể chủ động bật tính năng này, tạo ra vector tấn công tiềm ẩn.
⚠️ Cảnh báo quan trọng: Các hệ thống PHP có nguy cơ cao nhất khi thực hiện giải nén dữ liệu Brotli từ các nguồn không đáng tin cậy. Hậu tố "-1" trong các phiên bản mới đánh dấu các bản build Windows đã được cập nhật phụ thuộc, trong khi phiên bản runtime PHP cốt lõi vẫn giữ nguyên.
Khuyến nghị phòng thủ và quản trị hệ thống
Ngoài việc cập nhật lên các bản build mới nhất, quản trị viên cần lưu ý rằng PHP đã phát hành một bản cập nhật bảo mật riêng biệt vào ngày 21 tháng 10 để khắc phục hai lỗ hổng nghiêm trọng khác là CVE-2026-109618 và CVE-2026-109619. Cả hai lỗ hổng này đều cho phép thực thi mã từ xa mà không cần đăng nhập.
- Kiểm tra phiên bản: Đảm bảo mọi máy chủ PHP trên Windows đang chạy các gói có hậu tố "-1".
- Rà soát thư viện: Kiểm tra các thư viện Brotli đi kèm, đảm bảo chúng đã được cập nhật lên các phiên bản an toàn: 1.0.10, 1.1.1 hoặc 1.2.1.
- Chiến lược giảm thiểu: Đối với các hệ thống chưa thể vá lỗi ngay lập tức, cần cách ly các nguồn dữ liệu Brotli không xác định khỏi hệ thống sản xuất (production).
Cần lưu ý rằng PHP 8.2 sẽ đạt trạng thái kết thúc vòng đời (End of Life) vào ngày 31 tháng 12 năm 2026. Do đó, các đội ngũ kỹ thuật đang vận hành trên nhánh này cần lập kế hoạch nâng cấp lên các phiên bản được hỗ trợ lâu dài hơn. Để biết thêm chi tiết về các bản cập nhật, quản trị viên có thể tham khảo trang tải xuống PHP cho Windows hoặc theo dõi các ghi chú phát hành của thư viện Brotli trên GitHub.
Mạng Lưới An Ninh Mạng & Cộng Đồng
Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.
Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.



