(startUpDuKich) – Lỗ hổng bảo mật PHP – Ngày 21/10/2026, dự án PHP công bố bản cập nhật bảo mật để khắc phục hai lỗ hổng nghiêm trọng có thể cho phép kẻ tấn công thực thi mã từ xa trên máy chủ mà không cần xác thực. Sự kiện này đặt ra yêu cầu cấp thiết đối với doanh nghiệp đang vận hành website, ứng dụng web và hệ thống kinh doanh sử dụng PHP.
Lỗ hổng bảo mật PHP – Điều đáng chú ý là rủi ro không chỉ giới hạn ở các hệ thống sử dụng PHP phiên bản cũ. Theo cảnh báo bảo mật, các phiên bản PHP từ 5.4 đến 8.5.11 bị ảnh hưởng, trong khi những phiên bản đã hết vòng đời hỗ trợ như PHP 5.x, 7.x và 8.1 trở xuống không được dự án PHP phát hành bản sửa lỗi tương ứng.
Vậy doanh nghiệp cần làm gì để bảo vệ website? Nếu không tự quản lý VPS hoặc máy chủ, ai sẽ chịu trách nhiệm xử lý? Bài viết dưới đây hướng dẫn các bước cần thực hiện ngay để giảm thiểu rủi ro và duy trì hoạt động kinh doanh an toàn.
1.[ Lỗ hổng bảo mật PHP ] Điều gì đã xảy ra với PHP trong tháng 10/2026?
Ngày 21/10/2026, nhóm phát triển PHP phát hành các bản cập nhật bảo mật khẩn cấp nhằm khắc phục hai lỗ hổng nghiêm trọng:
-
- CVE-2026-109618: Liên quan đến xử lý lỗi thiếu bộ nhớ, có thể dẫn đến sai lệch quản lý bộ nhớ và tạo điều kiện thực thi mã từ xa.
- CVE-2026-109619: Liên quan đến trạng thái nội bộ của một yêu cầu xử lý không được làm mới đúng cách, có thể dẫn đến việc sử dụng dữ liệu bộ nhớ không còn hợp lệ và thực thi mã từ xa.
Cả hai lỗ hổng đều được đánh giá ở mức nghiêm trọng, với điểm CVSS 9,2. Trong điều kiện khai thác phù hợp, kẻ tấn công có thể gửi yêu cầu đến máy chủ PHP mà không cần đăng nhập trước.
Lỗ hổng bảo mật PHP – Nguồn tham khảo:
Điểm đáng lo ngại là các lỗ hổng này nằm trong môi trường thực thi PHP, không chỉ ở một plugin hay một ứng dụng cụ thể. Vì vậy, việc cập nhật WordPress, thay mật khẩu quản trị hoặc cài thêm plugin bảo mật không thể thay thế cho việc khắc phục lỗ hổng PHP ở cấp độ máy chủ.
Lỗ hổng bảo mật PHP – Những hệ thống nào có nguy cơ bị ảnh hưởng?
Doanh nghiệp nên rà soát tất cả hệ thống có sử dụng PHP, bao gồm:
-
- Website doanh nghiệp, website giới thiệu sản phẩm và dịch vụ.
- Website WordPress, WooCommerce và các hệ thống quản trị nội dung.
- Website thương mại điện tử, cổng khách hàng và hệ thống đặt hàng.
- Ứng dụng nội bộ, CRM, ERP và các phần mềm nghiệp vụ được triển khai trên máy chủ PHP.
- Các ứng dụng hoặc sản phẩm của bên thứ ba có tích hợp PHP trong thành phần vận hành.
Không nên chỉ kiểm tra những website mà doanh nghiệp biết rõ đang chạy PHP. Một số sản phẩm đóng gói hoặc dịch vụ của bên thứ ba có thể sử dụng PHP ở phía sau mà người dùng không nhận biết.
2.[ Lỗ hổng bảo mật PHP ] Các phiên bản PHP nào đã được vá lỗi?
Dự án PHP đã phát hành bản sửa lỗi cho bốn nhánh phiên bản như sau:
Nguồn: PHP Security Releases.
Lỗ hổng bảo mật PHP – Nếu hệ thống đang chạy phiên bản thấp hơn bản vá tương ứng, doanh nghiệp cần làm việc với đơn vị kỹ thuật để xác định phương án cập nhật phù hợp. Nếu nhà cung cấp đã phát hành bản dựng có bản vá bảo mật được chuyển ngược (backport), cần yêu cầu xác nhận cụ thể thay vì chỉ nhìn số phiên bản.
Lưu ý với PHP 5.x, 7.x và 8.1 trở xuống: các nhánh này đã hết vòng đời hỗ trợ bảo mật thông thường và không được dự án PHP phát hành bản sửa lỗi tương ứng cho hai lỗ hổng trên. Doanh nghiệp nên ưu tiên xây dựng kế hoạch chuyển sang phiên bản còn được hỗ trợ và đã có bản vá.
PHP 8.2.35 có bản sửa lỗi cho sự kiện này, nhưng nhánh PHP 8.2 dự kiến hết hỗ trợ vào ngày 31/12/2026. Doanh nghiệp đang sử dụng nhánh này nên cân nhắc lộ trình chuyển lên nhánh mới hơn được hỗ trợ, thay vì chỉ giải quyết vấn đề trước mắt.
3.[ Lỗ hổng bảo mật PHP ] Doanh nghiệp cần làm gì ngay khi nhận được cảnh báo?
Trong tình huống này, không nên chờ đến đợt bảo trì định kỳ tiếp theo mới kiểm tra. Doanh nghiệp cần triển khai các bước sau theo thứ tự ưu tiên.
3.1.[ Lỗ hổng bảo mật PHP ] Bước 1: Kiểm kê các website và ứng dụng đang sử dụng PHP
Lập danh sách website, ứng dụng và máy chủ có liên quan. Với mỗi hệ thống, cần xác định:
-
- Tên miền và chức năng kinh doanh.
- Đơn vị đang cung cấp hosting hoặc VPS.
- Đơn vị chịu trách nhiệm quản trị máy chủ.
- Phiên bản PHP thực tế đang phục vụ website.
- Mức độ quan trọng của hệ thống và dữ liệu được xử lý.
Nếu doanh nghiệp có nhiều website trên cùng một máy chủ, không nên chỉ kiểm tra một website rồi mặc định toàn bộ hệ thống đã an toàn.
3.2.[ Lỗ hổng bảo mật PHP ] Bước 2: Xác minh phiên bản PHP thực tế
Nếu có quyền truy cập máy chủ, quản trị viên có thể sử dụng: php -v
Tuy nhiên, lệnh này chỉ cho biết phiên bản PHP của giao diện dòng lệnh. Website có thể chạy phiên bản khác thông qua PHP-FPM, Apache mod_php, php-cgi hoặc môi trường triển khai riêng.
Vì vậy, cần kiểm tra đúng phiên bản đang xử lý yêu cầu web. Nếu không có quyền truy cập, hãy yêu cầu nhà cung cấp hosting hoặc đơn vị quản trị xác nhận bằng văn bản.
3.3.[ Lỗ hổng bảo mật PHP ] Bước 3: Yêu cầu cập nhật bản vá ngay
Đối với hệ thống đang sử dụng phiên bản bị ảnh hưởng, cần ưu tiên triển khai bản vá bảo mật đã được phát hành.
Lỗ hổng bảo mật PHP – Nếu ứng dụng không tương thích với phiên bản PHP mới, đơn vị kỹ thuật cần đánh giá phương án nâng cấp, sửa mã nguồn hoặc áp dụng biện pháp giảm thiểu tạm thời theo khuyến cáo chính thức.
Không nên tự ý thay đổi phiên bản PHP trên website đang vận hành mà không có phương án kiểm thử và khôi phục. Tuy nhiên, cũng không nên dùng lý do tương thích để trì hoãn vô thời hạn việc xử lý lỗ hổng nghiêm trọng.
3.4.[ Lỗ hổng bảo mật PHP ] Bước 4: Kiểm tra dấu hiệu bị xâm nhập
Cập nhật bản vá không đồng nghĩa với việc loại bỏ mọi hậu quả nếu hệ thống đã bị khai thác trước đó.
Lỗ hổng bảo mật PHP – Nếu máy chủ đang chạy phiên bản dễ bị tấn công, đặc biệt khi có dấu hiệu bất thường, cần kiểm tra nhật ký truy cập, tài khoản quản trị, tệp lạ, tác vụ định kỳ và các kết nối đáng ngờ.
Nếu nghi ngờ hệ thống đã bị xâm nhập, hãy phối hợp với chuyên gia ứng phó sự cố để bảo toàn bằng chứng, cô lập hệ thống khi cần thiết, xác định phạm vi ảnh hưởng và loại bỏ dấu vết tấn công trước khi đưa hệ thống trở lại hoạt động bình thường.
4.[ Lỗ hổng bảo mật PHP ] Không tự quản lý VPS hoặc máy chủ: Doanh nghiệp phải làm gì?
Đây là vấn đề đặc biệt quan trọng với doanh nghiệp nhỏ và vừa. Nhiều đơn vị thuê hosting, thuê VPS hoặc giao toàn bộ việc vận hành website cho công ty công nghệ bên ngoài.
Trong trường hợp này, doanh nghiệp không nhất thiết phải tự đăng nhập máy chủ hay chạy lệnh cập nhật PHP. Việc cần làm là xác định đúng đơn vị chịu trách nhiệm, yêu cầu kiểm tra khẩn cấp và theo dõi đến khi có kết quả xử lý rõ ràng.
4.1.[ Lỗ hổng bảo mật PHP ] Trường hợp A: Website sử dụng hosting chia sẻ
Nếu website đặt trên hosting có bảng điều khiển như cPanel hoặc DirectAdmin, nhà cung cấp thường quản lý hệ điều hành và hạ tầng máy chủ.
Lỗ hổng bảo mật PHP – Doanh nghiệp nên liên hệ bộ phận hỗ trợ kỹ thuật, yêu cầu:
-
- Xác nhận phiên bản PHP đang phục vụ website có bị ảnh hưởng hay không.
- Kiểm tra nhà cung cấp đã triển khai bản vá ở cấp độ hệ thống chưa.
- Hướng dẫn nâng cấp PHP nếu tài khoản hosting cho phép khách hàng lựa chọn phiên bản.
- Xác nhận các biện pháp xử lý có áp dụng cho đúng website và môi trường của doanh nghiệp.
- Hỗ trợ kiểm tra nếu website gặp lỗi sau khi cập nhật.
Không nên tự chuyển sang phiên bản PHP mới hơn chỉ vì thấy tùy chọn trong bảng điều khiển. Cần phối hợp với đơn vị phát triển website để kiểm tra tính tương thích.
4.2.[ Lỗ hổng bảo mật PHP ] Trường hợp B: Thuê VPS nhưng không tự quản trị máy chủ
Một số doanh nghiệp thuê VPS từ nhà cung cấp hạ tầng nhưng giao việc quản trị cho cá nhân hoặc công ty kỹ thuật.
Cần phân biệt rõ: nhà cung cấp VPS và đơn vị quản trị VPS có thể là hai bên khác nhau. Nhà cung cấp hạ tầng không nhất thiết chịu trách nhiệm cập nhật PHP bên trong hệ điều hành mà khách hàng thuê.
Lỗ hổng bảo mật PHP – Doanh nghiệp nên gửi yêu cầu cho đơn vị quản trị VPS, đề nghị:
-
- Rà soát tất cả phiên bản PHP đang chạy trên máy chủ.
- Xác định các website và ứng dụng chịu ảnh hưởng.
- Triển khai bản vá bảo mật phù hợp.
- Kiểm tra tương thích và sao lưu trước khi thay đổi.
- Kiểm thử website sau cập nhật.
- Báo cáo kết quả, những rủi ro còn tồn tại và phương án xử lý tiếp theo.
Nếu đơn vị quản trị không thể khắc phục ngay, cần yêu cầu họ đề xuất biện pháp giảm thiểu rủi ro và thời hạn hoàn tất cụ thể. Đối với hệ thống đang phơi nhiễm Internet mà chưa thể vá, có thể cần hạn chế truy cập hoặc tạm thời cô lập hệ thống theo đánh giá của người có chuyên môn.
4.3.[ Lỗ hổng bảo mật PHP ] Trường hợp C: Công ty thiết kế website không quản lý máy chủ
Nếu doanh nghiệp chỉ thuê công ty thiết kế website, công ty này có thể chịu trách nhiệm về mã nguồn nhưng không có quyền cập nhật hệ điều hành hoặc PHP trên máy chủ.
Khi đó, cần yêu cầu công ty thiết kế phối hợp với nhà cung cấp hosting hoặc đơn vị quản trị VPS. Không nên để tình trạng mỗi bên cho rằng việc xử lý thuộc trách nhiệm của bên còn lại.
Lỗ hổng bảo mật PHP – Doanh nghiệp cần làm rõ:
-
- Ai quản lý máy chủ?
- Ai chịu trách nhiệm cập nhật PHP?
- Ai kiểm tra tương thích của mã nguồn?
- Ai thực hiện sao lưu và khôi phục?
- Ai chịu trách nhiệm kiểm tra sau khi cập nhật?
Nếu hợp đồng chưa quy định rõ, đây là thời điểm cần thống nhất đầu mối xử lý và trách nhiệm vận hành.
Lỗ hổng bảo mật PHP – Mẫu email gửi nhà cung cấp hosting hoặc đơn vị quản trị máy chủ
Tiêu đề: Yêu cầu kiểm tra khẩn cấp lỗ hổng bảo mật PHP tháng 10/2026
Kính gửi Quý đơn vị,
Theo thông báo bảo mật ngày 21/10/2026, PHP đã phát hành bản cập nhật xử lý hai lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619, có thể cho phép thực thi mã từ xa trên hệ thống bị ảnh hưởng.
Lỗ hổng bảo mật PHP – Đề nghị Quý đơn vị khẩn trương kiểm tra website và máy chủ đang vận hành hệ thống của chúng tôi, đồng thời xác nhận các nội dung sau:
-
- Phiên bản PHP thực tế đang chạy và mức độ ảnh hưởng của hai lỗ hổng.
- Bản vá bảo mật đã được triển khai hay chưa.
- Phương án và thời gian xử lý nếu hệ thống chưa được cập nhật.
- Biện pháp giảm thiểu rủi ro trong thời gian chờ khắc phục, nếu cần.
- Kết quả kiểm tra sau cập nhật và những rủi ro còn tồn tại.
Lỗ hổng bảo mật PHP – Nếu việc cập nhật có thể ảnh hưởng đến hoạt động website, đề nghị Quý đơn vị thông báo phương án kiểm thử, sao lưu và khôi phục phù hợp.
Vui lòng ưu tiên xử lý do đây là cảnh báo bảo mật nghiêm trọng và phản hồi kết quả xác minh sớm nhất có thể.
Trân trọng.
Doanh nghiệp nên lưu lại email, phản hồi kỹ thuật và kết quả xử lý để có cơ sở theo dõi trách nhiệm và quản lý rủi ro.
5.[ Lỗ hổng bảo mật PHP ] Có nên tắt website nếu chưa cập nhật được PHP?
Không phải mọi website đều cần tắt ngay lập tức, nhưng cũng không nên tiếp tục vận hành một hệ thống dễ bị khai thác mà không có biện pháp bảo vệ phù hợp.
Khuyến cáo của CERT-EU nhấn mạnh việc vá lỗi ngay; nếu chưa thể khắc phục, tổ chức nên cân nhắc cô lập các ứng dụng đang kết nối Internet cho đến khi bản vá được triển khai và xác minh.
Lỗ hổng bảo mật PHP – Doanh nghiệp cần phối hợp với đơn vị kỹ thuật để lựa chọn phương án dựa trên mức độ rủi ro:
-
- Có thể cập nhật ngay: Triển khai bản vá, kiểm thử và xác minh.
- Chưa thể cập nhật do tương thích: Đánh giá biện pháp giảm thiểu tạm thời, đồng thời xây dựng kế hoạch nâng cấp.
- Chưa thể cập nhật và không có biện pháp giảm thiểu đáng tin cậy: Cân nhắc tạm ngừng hoặc cô lập hệ thống có nguy cơ cao.
- Có dấu hiệu đã bị xâm nhập: Kích hoạt quy trình ứng phó sự cố, không chỉ đơn thuần nâng cấp PHP.
Không nên coi tường lửa ứng dụng web (WAF), plugin bảo mật hoặc việc đổi mật khẩu là giải pháp thay thế hoàn toàn cho bản vá. Các biện pháp này có thể hỗ trợ giảm thiểu rủi ro trong một số môi trường, nhưng cần được đánh giá cụ thể và không bảo đảm hệ thống đã an toàn.
6.[ Lỗ hổng bảo mật PHP ] Sau sự cố, doanh nghiệp cần thay đổi điều gì?
Sự kiện bảo mật PHP tháng 10/2026 cho thấy việc vận hành website không thể chỉ dừng ở thiết kế giao diện, cập nhật nội dung và gia hạn tên miền.
Doanh nghiệp cần xây dựng quy trình quản lý bảo mật tối thiểu gồm:
Lỗ hổng bảo mật PHP – Quản lý phiên bản phần mềm: Lập danh sách PHP, hệ điều hành, CMS, plugin và các thành phần liên quan; theo dõi vòng đời hỗ trợ và kế hoạch nâng cấp.
Phân định trách nhiệm: Xác định rõ người tiếp nhận cảnh báo, đơn vị triển khai bản vá và người phê duyệt thay đổi.
Sao lưu và khôi phục: Duy trì bản sao lưu được bảo vệ và kiểm tra khả năng khôi phục định kỳ.
Lỗ hổng bảo mật PHP – Giám sát và ứng phó: Theo dõi cảnh báo bảo mật, nhật ký hệ thống và thiết lập đầu mối xử lý sự cố.
Quản lý nhà cung cấp: Quy định phạm vi quản trị, thời gian phản hồi, trách nhiệm cập nhật và quy trình thông báo khi xảy ra sự cố trong hợp đồng.
Đối với doanh nghiệp còn sử dụng PHP 5.x hoặc các phiên bản đã hết hỗ trợ, cần xem đây là vấn đề dài hạn. Chỉ xử lý từng lỗ hổng riêng lẻ không giải quyết được rủi ro tích lũy từ môi trường phần mềm lỗi thời.
7.[ Lỗ hổng bảo mật PHP ] Checklist dành cho chủ doanh nghiệp
Khi tiếp nhận cảnh báo bảo mật PHP, hãy kiểm tra những việc sau:
Liệt kê các website và ứng dụng có sử dụng PHP.
Xác định phiên bản PHP thực tế đang phục vụ từng hệ thống.
Liên hệ nhà cung cấp hosting hoặc đơn vị quản trị VPS nếu không tự quản lý máy chủ.
Yêu cầu xác nhận tình trạng bản vá cho CVE-2026-109618 và CVE-2026-109619.
Ưu tiên xử lý các website công khai và hệ thống quan trọng.
Xác nhận phương án sao lưu, kiểm thử và khôi phục.
Kiểm tra dấu hiệu xâm nhập nếu có nguy cơ hoặc biểu hiện bất thường.
Lưu lại kết quả xử lý và lập kế hoạch nâng cấp các phiên bản PHP đã hết hỗ trợ.
Lỗ hổng bảo mật PHP – Hai lỗ hổng PHP được công bố ngày 21/10/2026 là lời nhắc quan trọng rằng bảo mật website phải được xem là một phần của hoạt động quản trị doanh nghiệp. Các hệ thống sử dụng phiên bản PHP bị ảnh hưởng cần được rà soát và xử lý khẩn trương, đặc biệt khi website đang kết nối trực tiếp với Internet.
Lỗ hổng bảo mật PHP – Nếu doanh nghiệp tự quản lý máy chủ, cần phối hợp với quản trị viên để triển khai bản vá phù hợp. Nếu thuê hosting, VPS hoặc dịch vụ bảo trì website, hãy yêu cầu đơn vị cung cấp xác minh phiên bản PHP, tình trạng bản vá và kết quả xử lý.
Doanh nghiệp không nhất thiết phải tự làm mọi việc về kỹ thuật, nhưng cần chủ động yêu cầu, theo dõi và xác nhận kết quả. Đó là cách thiết thực để hạn chế rủi ro bảo mật, bảo vệ dữ liệu khách hàng và duy trì hoạt động kinh doanh liên tục.
