Dấu hiệu máy chủ PHP bị tấn công PHP2Shell và cách xử lý
Chưa có bộ dấu hiệu xâm nhập (IOC) chính thức cho PHP2Shell. Các tín hiệu nên kiểm tra theo Wiz: request multipart bất thường đi kèm lỗi vượt giới hạn bộ nhớ, lỗi HTTP 500 lặp lại, cookie PHPSESSID trả về dài hoặc sai định dạng, tiến trình PHP khởi động lại bất thường. Nếu thấy dấu hiệu, hãy vá PHP, cô lập máy chủ, rà file lạ và đổi mật khẩu.
Vì có người thử khai thác từ trước ngày công bố, máy chủ chưa vá trong tuần qua nên được rà soát, không chỉ cập nhật rồi bỏ đó.
Tín hiệu cần xem trong log
Đây là tín hiệu gợi ý, không phải bằng chứng chắc chắn; cần người có kinh nghiệm đánh giá.
- Request dạng multipart (upload) lạ, ngay sau đó PHP báo lỗi vượt giới hạn bộ nhớ (Allowed memory size exhausted).
- Lỗi HTTP 500 lặp lại nhiều lần trong thời gian ngắn.
- Cookie PHPSESSID trả về dài bất thường hoặc chứa ký tự lạ.
- Tiến trình PHP-FPM khởi động lại liên tục không rõ lý do.
Dấu hiệu máy chủ có thể đã bị chiếm
Những dấu hiệu chung khi máy chủ web bị cài mã độc:
- File PHP lạ trong thư mục upload, thư mục giao diện hoặc thư mục gốc.
- Tài khoản quản trị mới không rõ ai tạo, tác vụ định kỳ (cron) lạ.
- Máy chủ gửi thư rác, CPU tăng cao, website chuyển hướng sang trang lạ.
- Google Search Console cảnh báo bảo mật hoặc trình duyệt báo trang nguy hiểm.
Cách xử lý
Thứ tự khuyến nghị khi nghi máy chủ bị khai thác:
- Cập nhật PHP lên bản đã vá trước tiên để chặn lần tấn công tiếp theo.
- Sao lưu hiện trạng (kể cả log) để điều tra, rồi cô lập máy chủ nếu thấy dấu hiệu chiếm quyền.
- Rà và xoá file lạ, so sánh mã nguồn với bản gốc, khôi phục từ bản sao lưu sạch nếu cần.
- Đổi mật khẩu quản trị, cơ sở dữ liệu, FTP/SSH, khoá API lưu trên máy chủ.
Câu hỏi thường gặp
Giải đáp nhanh những điểm doanh nghiệp hay hỏi về chủ đề này.
Đã cập nhật PHP rồi có cần rà soát nữa không?
Nên rà soát nếu máy chủ chạy bản chưa vá sau ngày 17/10/2026 — ngày Amazon ghi nhận lần thử khai thác đầu tiên. Cập nhật chặn lần tấn công mới nhưng không gỡ được mã độc đã bị cài trước đó.
Tài liệu chính thức được dẫn trong bài
- Wiz — PHP2Shell: critical RCE vulnerabilities in PHPwww.wiz.io/blog/php2shell-php-rce
- Help Net Security — PHP2Shell: Critical PHP vulnerabilities patchedwww.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/
- Google Cloud — Responding to core PHP vulnerabilities CVE-2026-109618 and CVE-2026-109619cloud.google.com/blog/products/identity-security/responding-to-core-php-vulnerabilities-cve-2026-109618-cve-2026-109619
Gửi tên miền, Uptech kiểm tra lỗ hổng PHP miễn phí
Gửi tên miền website và nơi đang đặt website (hosting, VPS). Uptech kiểm tra phiên bản PHP, mức rủi ro PHP2Shell và báo phương án vá, chi phí trọn gói kèm hoá đơn VAT.
- Ưu tiên xử lý yêu cầu gấp — nhắn Zalo để được hỗ trợ ngay
- Kiểm tra hiện trạng miễn phí
- Hợp đồng, hoá đơn VAT điện tử