Tin tức

Thông số kĩ thuật

Chi tiết sản phẩm

Ngôn ngữ lập trình PHP đóng vai trò nền tảng cho hàng triệu website, hệ thống thương mại điện tử và cổng thông tin lớn trên toàn cầu. Tuy nhiên, một sự cố bảo mật mới đây đã gióng lên hồi chuông cảnh báo về tính an toàn của hạ tầng máy chủ.

Cụ thể, nhóm phát triển PHP đã công bố bản vá khẩn cấp cho hai lỗ hổng cực kỳ nguy hiểm. Đây là thời điểm quan trọng để các quản trị viên hệ thống và doanh nghiệp triển khai biện pháp tự vệ trước khi mã khai thác bị lan rộng.

Tổng quan về hai lỗ hổng bảo mật PHP mới

Hai lỗ hổng này mang định danh lần lượt là CVE-2026-109618 và CVE-2026-109619. Theo thang đo mức độ nghiêm trọng CVSS v4.0, cả hai đều đạt mức 9.2 trên tổng số 10 điểm, xếp vào nhóm tối khẩn cấp.

Điểm đáng chú ý của sự cố này bao gồm:

• Nguồn gốc phát hiện: Được phát hiện bởi hãng bảo mật Wiz cùng các chuyên gia thông qua sự hỗ trợ đắc lực của công cụ trí tuệ nhân tạo (AI).
• Cơ chế tấn công: Kẻ gian có thể tận dụng lỗ hổng để thực thi mã từ xa (RCE) trực tiếp trên máy chủ web mà hoàn toàn không cần trải qua bước đăng nhập tài khoản.
• Phạm vi ảnh hưởng: Tập trung hoàn toàn ở tầng máy chủ, không gây nguy hiểm trực tiếp cho thiết bị cá nhân hay trình duyệt của người dùng cuối.

Danh sách các phiên bản PHP cần cập nhật ngay lập tức

Ngay sau khi phát hiện, nhóm phát triển đã tung ra các bản sửa lỗi chính thức. Các tổ chức và doanh nghiệp cần nhanh chóng kiểm tra và nâng cấp hệ thống của mình theo danh sách dưới đây:

• Phiên bản được vá sẵn: 8.5.12, 8.4.27, 8.3.36 và 8.2.35.
• Phiên bản cũ đã ngừng hỗ trợ: Với các nhánh 7.4, 8.0 và 8.1, mã nguồn bản vá đã được cung cấp để các bản phân phối Linux (như Ubuntu, Debian, Red Hat, AlmaLinux) đóng gói bản cập nhật riêng.
• Phiên bản quá cũ: Từ nhánh 7.3 trở về trước sẽ không nhận được bản vá chính thức, bắt buộc phải nâng cấp lên phiên bản mới hơn để đảm bảo an toàn.

Đánh giá mức độ rủi ro thực tế cho doanh nghiệp

Mặc dù lỗ hổng đạt điểm số rất cao, không phải mọi website sử dụng PHP đều nằm trong tầm ngắm bị khai thác thành công ngay lập tức. Mức độ rủi ro thực tế phụ thuộc vào nhiều yếu tố kỹ thuật cấu thành hệ thống.

Các yếu tố giảm thiểu rủi ro sẵn có

Quá trình khai thác thành công đòi hỏi kẻ tấn công phải gửi các yêu cầu HTTP được chế tạo rất tinh vi và kiểm soát cực kỳ chính xác trạng thái bộ nhớ của máy chủ. Do đó, các hệ thống đáp ứng những tiêu chí sau sẽ được bảo vệ tốt hơn:

• Đang sử dụng hệ thống tường lửa ứng dụng web (WAF) với các quy tắc chặn lọc lưu lượng truy cập bất thường được cấu hình chặt chẽ.
• Chạy trên các hạ tầng đám mây hoặc dịch vụ lưu trữ web (hosting) uy tín đã tự động cập nhật bản vá từ phía nhà cung cấp.

Lời khuyên hành động từ chuyên gia an ninh mạng

Theo Cục An ninh mạng (A05) và Hiệp hội An ninh mạng quốc gia (NCA), thay vì hoang mang lo lắng, các tổ chức vận hành website cần bình tĩnh thực hiện các bước sau:

• Rà soát tổng thể: Kiểm tra ngay lập tức phiên bản PHP đang được vận hành trên toàn bộ hệ thống máy chủ nội bộ lẫn máy chủ thuê ngoài.
• Liên hệ nhà cung cấp hosting: Yêu cầu xác nhận tình trạng cập nhật bản vá và kiểm tra các lớp bảo vệ bên ngoài.
• Tối ưu hóa WAF: Kích hoạt và cập nhật bộ quy tắc nhận diện mã độc mới nhất để ngăn chặn từ xa các kịch bản tấn công.
• Tăng cường giám sát: Thường xuyên kiểm tra nhật ký truy cập (access log) để phát hiện sớm các dấu hiệu dò quét bất thường.

Đối với người dùng internet thông thường, bạn có thể hoàn toàn yên tâm lướt web, mua sắm và giao dịch trực tuyến mà không cần lo ngại sự cố này. Tuy nhiên, đây cũng là thời điểm thích hợp để rà soát lại các thói quen bảo mật cá nhân như bật xác thực hai yếu tố và sử dụng mật khẩu mạnh cho mọi tài khoản trực tuyến.