Cập nhật PHP cho WordPress an toàn để vá PHP2Shell
Để cập nhật PHP cho WordPress an toàn: sao lưu toàn bộ website và cơ sở dữ liệu, cập nhật WordPress, plugin, giao diện, thử phiên bản PHP mới trên bản sao (staging), rồi mới đổi trên website thật, khởi động lại PHP-FPM và kiểm tra các trang chính, giỏ hàng, form liên hệ. Nếu ở cùng nhánh (ví dụ 8.3 lên 8.3.36) thì ít rủi ro hơn nhiều so với đổi nhánh.
Phần lớn sự cố khi cập nhật PHP đến từ plugin, giao diện cũ không tương thích với nhánh PHP mới. Làm đúng thứ tự giúp vá lỗ hổng mà website không bị trắng trang.
Trường hợp 1: chỉ cập nhật bản vá trong cùng nhánh
Nếu website đang chạy PHP 8.2, 8.3, 8.4 hoặc 8.5, chỉ cần cập nhật lên bản vá cùng nhánh (8.2.35, 8.3.36, 8.4.27, 8.5.12). Bản vá trong cùng nhánh hiếm khi làm hỏng website, nên ưu tiên làm ngay.
- Shared hosting: hỏi nhà cung cấp đã cập nhật gói PHP chưa; nhiều nhà cung cấp tự cập nhật.
- VPS Ubuntu/Debian: cập nhật gói php8.x qua apt từ kho đã có bản vá, rồi khởi động lại php8.x-fpm.
- VPS AlmaLinux/Rocky: cập nhật qua dnf từ kho đã có bản vá, rồi khởi động lại php-fpm.
Trường hợp 2: phải đổi nhánh (từ 7.4, 8.0, 8.1)
Đổi nhánh PHP có thể làm lỗi plugin, giao diện cũ. Nên làm theo thứ tự:
- Sao lưu đầy đủ mã nguồn và cơ sở dữ liệu, kiểm tra bản sao lưu khôi phục được.
- Cập nhật WordPress, plugin, giao diện lên bản mới nhất.
- Tạo bản sao (staging), chuyển staging sang PHP 8.3 hoặc 8.4, bật ghi log lỗi.
- Kiểm tra trang chủ, trang sản phẩm, giỏ hàng, thanh toán, form, trang quản trị.
- Thay plugin không còn được cập nhật, sửa lỗi tương thích, rồi mới chuyển website thật.
Sau khi cập nhật
Xác nhận lại phiên bản trong Tình trạng trang web, theo dõi log lỗi 24–48 giờ đầu, xoá bộ nhớ đệm (cache) của plugin và CDN nếu giao diện hiển thị lạ.
Câu hỏi thường gặp
Giải đáp nhanh những điểm doanh nghiệp hay hỏi về chủ đề này.
Nên chọn PHP 8.3 hay 8.4 cho WordPress?
Cả hai đều đang được hỗ trợ. Chọn nhánh mà toàn bộ plugin, giao diện của bạn đã tương thích; nếu chưa chắc, thử trên staging trước. Tránh dừng ở 8.2 vì nhánh này hết hỗ trợ ngày 31/12/2026.
Cập nhật plugin bảo mật có thay được việc cập nhật PHP không?
Không. PHP2Shell nằm trong lõi PHP và bị kích hoạt trước khi WordPress chạy, nên plugin không chặn được. Chỉ cập nhật PHP mới vá lỗi.
Tài liệu chính thức được dẫn trong bài
- php.net — Bản phát hành PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35www.php.net/archive/2026.php
- php.net — Security advisory: Critical remote code execution vulnerabilities (21/10/2026)www.php.net/archive/2026.php#2026-10-21-5
- php.net — Các phiên bản PHP đang được hỗ trợwww.php.net/supported-versions.php
Gửi tên miền, Uptech kiểm tra lỗ hổng PHP miễn phí
Gửi tên miền website và nơi đang đặt website (hosting, VPS). Uptech kiểm tra phiên bản PHP, mức rủi ro PHP2Shell và báo phương án vá, chi phí trọn gói kèm hoá đơn VAT.
- Ưu tiên xử lý yêu cầu gấp — nhắn Zalo để được hỗ trợ ngay
- Kiểm tra hiện trạng miễn phí
- Hợp đồng, hoá đơn VAT điện tử