Vá lỗ hổng PHP2Shell khẩn cấp: cập nhật, nâng cấp PHP cho website doanh nghiệp
Uptech kiểm tra website đang chạy PHP bản nào, cập nhật lên bản đã vá PHP2Shell, nâng cấp các website còn chạy PHP 7.4, 8.0, 8.1 và rà soát dấu hiệu bị khai thác — cho WordPress, WooCommerce, Laravel, Magento, website tự viết, trên shared hosting lẫn VPS.
Trả lời nhanh: PHP2Shell (CVE-2026-109618, CVE-2026-109619) là hai lỗ hổng CVSS 9.2 trong lõi PHP, cho phép chạy mã từ xa không cần đăng nhập, ảnh hưởng gần như mọi phiên bản từ PHP 5.4. PHP phát hành bản vá ngày 21/10/2026: 8.5.12, 8.4.27, 8.3.36, 8.2.35. php.net cho biết cập nhật là cách khắc phục an toàn duy nhất; PHP 8.1 trở về trước cần nâng cấp phiên bản.
- Kiểm tra phiên bản PHP và mức rủi ro miễn phí
- Cập nhật PHP lên bản đã vá, khởi động lại dịch vụ, kiểm thử
- Nâng cấp PHP 7.4, 8.0, 8.1 có thử trên bản sao trước
- Rà dấu hiệu bị khai thác, bật WAF chắn tạm, hợp đồng và hoá đơn VAT
Vá ngay trong cùng nhánh
Website chạy PHP 8.2–8.5: cập nhật lên 8.2.35, 8.3.36, 8.4.27 hoặc 8.5.12, khởi động lại PHP-FPM và kiểm tra các trang chính.
Đưa PHP cũ lên 8.3/8.4
Website chạy PHP 7.4, 8.0, 8.1: kiểm tra tương thích plugin, giao diện, code tự viết trên bản sao rồi mới chuyển website thật.
Kiểm tra dấu hiệu bị khai thác
Rà log, file lạ, tài khoản lạ trên máy chủ chưa vá kể từ 17/10/2026; khôi phục từ bản sao lưu sạch nếu cần.
Website của bạn cần lên phiên bản PHP nào?
Theo thông báo của php.net ngày 21/10/2026. php.net cho biết không có biện pháp giảm thiểu nào hoàn chỉnh; cập nhật lên bản đã vá là cách khắc phục an toàn duy nhất.
| Nhánh đang chạy | Cập nhật lên | Tình trạng hỗ trợ |
|---|---|---|
| PHP 8.5 | 8.5.12 | Đang được hỗ trợ |
| PHP 8.4 | 8.4.27 | Đang được hỗ trợ |
| PHP 8.3 | 8.3.36 | Chỉ còn nhận bản vá bảo mật |
| PHP 8.2 | 8.2.35 | Hết hỗ trợ ngày 31/12/2026 |
| PHP 8.1, 8.0, 7.4 | Không có bản phát hành chính thức | Đã hết hỗ trợ; chỉ có bản vá mã nguồn tối thiểu hoặc bản vá của bản phân phối Linux — nên nâng cấp |
| PHP 7.3 trở về trước, 5.x | Không có bản vá | Bắt buộc nâng cấp phiên bản |
Mọi website, ứng dụng chạy PHP đều cần kiểm tra
Lỗ hổng nằm trong lõi PHP và bị kích hoạt trước khi code của website chạy, áp dụng cho PHP-FPM, Apache mod_php, php-cgi, FrankenPHP và LiteSpeed.
Website WordPress, WooCommerce
Chạy trên PHP nên bị ảnh hưởng bất kể plugin; cập nhật WordPress không vá được lỗi này.
Magento, OpenCart, PrestaShop
Website bán hàng lưu dữ liệu khách và đơn hàng — rủi ro lớn nếu máy chủ bị chiếm.
Laravel, CodeIgniter, Symfony
Ứng dụng nội bộ, cổng khách hàng, API viết bằng PHP đều chạy trên lõi PHP bị ảnh hưởng.
VPS, máy chủ riêng nhiều website
Một máy chủ chưa vá có thể làm cả chục website cùng gặp sự cố; cần vá từng phiên bản PHP đang chạy.
Shared hosting, cPanel, DirectAdmin
Phụ thuộc nhà cung cấp; cần xác nhận họ đã vá và tự chuyển website khỏi phiên bản PHP cũ.
Agency quản lý nhiều website khách
Cần kiểm kê nhanh phiên bản PHP của toàn bộ danh sách website và ưu tiên vá theo mức rủi ro.
Uptech vá lỗ hổng PHP trong 4 bước
Sao lưu và chắn tạm trước, cập nhật sau, kiểm thử cuối cùng — để website được vá mà không bị gián đoạn ngoài ý muốn.
Kiểm tra miễn phí
Nhận danh sách tên miền, xác định nơi đặt website, phiên bản PHP đang chạy và mức rủi ro.
- Báo cáo hiện trạng từng website
- Phương án: vá cùng nhánh hay nâng cấp
Sao lưu & chắn tạm
Sao lưu mã nguồn, cơ sở dữ liệu ra ngoài máy chủ; bật luật WAF chắn các kiểu khai thác đã biết trong lúc chờ vá.
- Bản sao lưu kiểm tra được
- Lớp chắn tạm qua Cloudflare/hosting
Cập nhật hoặc nâng cấp PHP
Cập nhật bản vá trên VPS hoặc làm việc với nhà cung cấp hosting; với PHP cũ thì thử trên bản sao, sửa lỗi tương thích trước.
- PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12
- Khởi động lại PHP-FPM, web server
Kiểm thử & rà soát
Kiểm tra trang chính, giỏ hàng, form, trang quản trị; rà dấu hiệu bị khai thác và bàn giao báo cáo.
- Báo cáo phiên bản trước/sau
- Hợp đồng, hoá đơn VAT điện tử
6 sai lầm khiến website vẫn hở sau khi “đã vá”
Phần lớn website còn rủi ro không phải vì chưa biết lỗ hổng, mà vì vá chưa đúng chỗ.
Tưởng plugin bảo mật chặn được
Lỗi bị kích hoạt trước khi WordPress chạy; plugin bảo mật không chặn được PHP2Shell.
Chỉ bật WAF rồi để đó
Luật WAF chỉ chặn kiểu khai thác đã biết; php.net nói không có biện pháp giảm thiểu nào hoàn chỉnh.
Xem php -v rồi kết luận
Website có thể chạy qua PHP-FPM với phiên bản khác bản dòng lệnh; phải kiểm tra phiên bản phục vụ web.
Cập nhật gói nhưng không khởi động lại
PHP-FPM vẫn chạy mã cũ trong bộ nhớ cho tới khi được khởi động lại.
Ở lại PHP 8.1 trở về trước
Không có bản phát hành chính thức vá lỗi; cần nâng cấp hoặc dùng gói vá có xác nhận.
Vá xong nhưng không kiểm tra
Có người thử khai thác từ 17/10/2026; máy chủ chưa vá trước đó nên được rà dấu hiệu bị chiếm.
Câu hỏi thường gặp về lỗ hổng PHP2Shell
Những điểm chủ website và đội IT hay hỏi khi nghe tin lỗ hổng PHP.
PHP2Shell là gì?
PHP2Shell là tên gọi hai lỗ hổng CVE-2026-109618 và CVE-2026-109619 trong lõi PHP, công bố ngày 21/10/2026, mức CVSS 9.2. Kẻ tấn công có thể chạy mã trên máy chủ web từ xa mà không cần đăng nhập, ảnh hưởng gần như mọi phiên bản PHP từ 5.4.
Phiên bản PHP nào đã được vá?
PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35, phát hành ngày 21/10/2026. PHP 8.1 trở về trước đã hết hỗ trợ nên không có bản phát hành chính thức; chỉ có bản vá mã nguồn tối thiểu hoặc gói vá của một số bản phân phối Linux.
Website WordPress của tôi có bị ảnh hưởng không?
Có, nếu máy chủ đang chạy phiên bản PHP chưa vá. WordPress chạy trên PHP nên bị ảnh hưởng bất kể plugin hay giao diện. Cập nhật WordPress hay plugin không vá được lỗi; phải cập nhật PHP.
Đang dùng Cloudflare thì có cần vá không?
Vẫn cần. Cloudflare đã đưa luật WAF chặn các kiểu khai thác đã biết, nhưng đây chỉ là giảm thiểu một phần. Theo php.net, cập nhật lên bản đã vá là cách khắc phục an toàn duy nhất.
Uptech vá lỗ hổng PHP mất bao lâu, giá bao nhiêu?
Tuỳ số website, nơi đặt website và phiên bản PHP hiện tại. Vá trong cùng nhánh trên VPS thường nhanh; nâng cấp từ PHP 7.4 cần kiểm thử lâu hơn. Uptech kiểm tra miễn phí rồi báo giá trọn gói kèm hợp đồng, hoá đơn VAT.
Website nằm trên hosting của bên khác thì Uptech có làm được không?
Được. Với VPS, Uptech cập nhật trực tiếp khi được cấp quyền. Với shared hosting, Uptech kiểm tra phiên bản, làm việc với nhà cung cấp hoặc chuyển website sang phiên bản PHP đã vá trong bảng điều khiển hosting, và tư vấn chuyển hosting nếu nhà cung cấp không vá.
Gửi tên miền, Uptech kiểm tra lỗ hổng PHP miễn phí
Gửi tên miền website và nơi đang đặt website (hosting, VPS). Uptech kiểm tra phiên bản PHP, mức rủi ro PHP2Shell và báo phương án vá, chi phí trọn gói kèm hoá đơn VAT.
- Ưu tiên xử lý yêu cầu gấp — nhắn Zalo để được hỗ trợ ngay
- Kiểm tra hiện trạng miễn phí
- Hợp đồng, hoá đơn VAT điện tử