PHP phát hành bản vá khẩn cấp cho lỗ hổng PHP2Shell đe dọa hàng triệu máy chủ

• Lỗ hổng nghiêm trọng: Hai lỗ hổng PHP2Shell (CVE-2026-109618 và CVE-2026-109619) được đánh giá ở mức 9.2/10 theo thang điểm CVSS 4.0.
• Cơ chế tấn công: Lỗ hổng liên quan đến cách PHP xử lý bộ nhớ trong các yêu cầu web, cho phép kẻ tấn công không cần xác thực thực thi mã từ xa (RCE).
• Hành động cần thiết: Quản trị viên cần cập nhật ngay lập tức lên các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35.
• Phạm vi ảnh hưởng: Hàng triệu máy chủ web đang chạy các phiên bản PHP cũ hơn trong các nhánh này đều có nguy cơ bị khai thác.

Dự án PHP vừa phát hành các bản cập nhật bảo mật khẩn cấp để giải quyết hai lỗ hổng nghiêm trọng, được cộng đồng nghiên cứu bảo mật đặt tên chung là PHP2Shell. Các lỗ hổng này, được định danh là CVE-2026-109618 và CVE-2026-109619, ảnh hưởng trực tiếp đến cách thức PHP quản lý bộ nhớ trong quá trình xử lý các yêu cầu web, mở ra cánh cửa cho việc thực thi mã từ xa (RCE) bởi những kẻ tấn công không cần xác thực.

Phân tích kỹ thuật về lỗ hổng PHP2Shell

Theo báo cáo từ các nhà nghiên cứu tại Wiz Research, OpenAI Codex Security và Calif, các lỗ hổng này nằm trong nhân cốt lõi của PHP. Việc khai thác thành công có thể dẫn đến sự thỏa hiệp hoàn toàn của máy chủ web.

CVE-2026-109618: Lỗi xử lý bộ nhớ khi quá tải

Lỗ hổng CVE-2026-109618 xuất phát từ cơ chế phản ứng của PHP đối với tình trạng thiếu hụt bộ nhớ (out-of-memory). Trước đây, PHP sử dụng hàm longjmp() để thoát khỏi thao tác hiện tại khi bộ nhớ cạn kiệt. Tuy nhiên, trong một số kịch bản, việc thoát đột ngột này khiến dữ liệu yêu cầu (request data) bị khởi tạo dở dang. Khi tiến trình shutdown của PHP diễn ra, nó có thể đọc hoặc xử lý các dữ liệu không hợp lệ này, tạo điều kiện cho kẻ tấn công thực thi mã tùy ý.

Các yêu cầu multipart form data đặc biệt nguy hiểm vì chúng có thể chứa nhiều header hoặc các trường file trống, buộc PHP phải tạo metadata và tiêu tốn bộ nhớ đáng kể. Ngay cả khi yêu cầu có vẻ nằm trong giới hạn cấu hình, việc xử lý các tên trường lồng nhau có thể làm cạn kiệt tài nguyên hệ thống.

CVE-2026-109619: Trạng thái tồn đọng trong các tiến trình worker

Lỗ hổng CVE-2026-109619 liên quan đến trạng thái toàn cục (global state) bị tồn đọng trong các PHP worker chạy dài hạn. Một worker có thể giữ lại tham chiếu đến bộ nhớ từ một yêu cầu trước đó ngay cả khi PHP đã giải phóng bộ nhớ đó. Nếu một lỗi xảy ra làm gián đoạn quá trình dọn dẹp, yêu cầu tiếp theo được xử lý bởi cùng một worker có thể truy cập vào vùng nhớ không hợp lệ này.

Khuyến nghị phòng thủ và cập nhật

Dự án PHP nhấn mạnh rằng việc cập nhật lên các phiên bản đã vá là phương pháp giảm thiểu rủi ro duy nhất triệt để. Quản trị viên cần kiểm tra và nâng cấp hệ thống lên các phiên bản sau:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

⚠️ Cảnh báo quan trọng: Chỉ cập nhật gói PHP dòng lệnh (CLI) là không đủ. Quản trị viên bắt buộc phải khởi động lại các tiến trình PHP-FPM và các module web server (như Apache mod_php) để đảm bảo các bản vá có hiệu lực trên toàn bộ hạ tầng.

Trong trường hợp chưa thể cập nhật ngay lập tức, các biện pháp tạm thời có thể được áp dụng để giảm thiểu rủi ro, mặc dù không thay thế được việc vá lỗi:

• Đối với CVE-2026-109618: Cấu hình giới hạn kích thước yêu cầu và multipart input tại tầng frontend (WAF/Reverse Proxy). Tránh sử dụng các thiết lập RLIMIT_AS và RLIMIT_DATA vì chúng có thể gây ra lỗi cấp phát bộ nhớ trên đường dẫn dễ bị tổn thương.
• Đối với CVE-2026-109619: Trên PHP 8.5, có thể vô hiệu hóa fatal_error_backtraces và tắt tính năng session upload progress để giảm thiểu các vector tấn công đã được xác nhận.

Để biết thêm chi tiết về các lỗ hổng này, quản trị viên có thể tham khảo tài liệu từ PHP Official Downloads và các báo cáo bảo mật liên quan. Việc duy trì hệ thống ở phiên bản hỗ trợ là yếu tố sống còn để bảo vệ hạ tầng trước các cuộc tấn công mạng ngày càng tinh vi.