Website còn chạy PHP 7.4, 8.0, 8.1: xử lý lỗ hổng PHP2Shell thế nào?
PHP 8.1 trở về trước đã hết hỗ trợ nên không có bản phát hành chính thức vá PHP2Shell. Đội bảo mật PHP chỉ đưa bản vá mã nguồn tối thiểu cho 7.4, 8.0, 8.1; một số bản phân phối Linux có gói vá riêng. Cách bền vững là nâng cấp lên PHP 8.3 hoặc 8.4; trong lúc nâng cấp, dùng WAF chặn tạm và cân nhắc tạm ngưng hệ thống không vá được.
Rất nhiều website doanh nghiệp làm từ vài năm trước vẫn chạy PHP 7.4 hoặc 8.0. Đây là nhóm rủi ro cao nhất với PHP2Shell vì không thể chỉ cập nhật bản vá.
Bốn lựa chọn, xếp theo mức an toàn
Chọn theo mức độ quan trọng của website và thời gian có thể bỏ ra.
| Cách làm | Mức an toàn | Lưu ý |
|---|---|---|
| Nâng cấp lên PHP 8.3/8.4 đã vá | Cao nhất | Cần kiểm tra tương thích code, plugin, giao diện |
| Dùng gói vá của bản phân phối Linux hoặc nhà cung cấp hỗ trợ dài hạn | Khá | Chỉ khi nhà cung cấp xác nhận đã vá; vẫn nên lên kế hoạch nâng cấp |
| Tự biên dịch PHP với bản vá mã nguồn tối thiểu | Khá, cần chuyên môn | Phải tự duy trì bản build về sau |
| Chỉ bật WAF (Cloudflare, nhà cung cấp hosting) | Thấp | Giảm thiểu một phần; không thay được việc vá |
Nếu chưa vá được ngay
Trung tâm An ninh mạng quốc gia Anh (NCSC) khuyên tạm ngưng hệ thống chưa vá được. Với website bán hàng, cân nhắc đưa lên trang bảo trì trong vài giờ nâng cấp còn hơn để máy chủ bị chiếm.
- Đưa website qua Cloudflare và bật luật WAF mới.
- Sao lưu ngay mã nguồn và cơ sở dữ liệu, lưu ngoài máy chủ.
- Theo dõi log lỗi bộ nhớ, lỗi 500 bất thường.
Câu hỏi thường gặp
Giải đáp nhanh những điểm doanh nghiệp hay hỏi về chủ đề này.
Nâng cấp từ PHP 7.4 lên 8.3 mất bao lâu?
Tuỳ khối lượng code tự viết và số plugin cũ. Website WordPress cập nhật thường xuyên có thể xong trong ngày; website tự viết nhiều năm có thể cần sửa code và kiểm thử lâu hơn. Nên kiểm tra tương thích trước để có ước lượng thực tế.
Nhà cung cấp hosting nói vẫn hỗ trợ PHP 7.4, có an toàn không?
Chỉ an toàn nếu nhà cung cấp xác nhận đã đưa bản vá PHP2Shell vào gói PHP 7.4 của họ. Hãy yêu cầu xác nhận bằng văn bản; nếu không có, nên nâng cấp.
Tài liệu chính thức được dẫn trong bài
- Help Net Security — PHP2Shell: Critical PHP vulnerabilities patchedwww.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/
- php.net — Security advisory: Critical remote code execution vulnerabilities (21/10/2026)www.php.net/archive/2026.php#2026-10-21-5
- php.net — Các phiên bản PHP đang được hỗ trợwww.php.net/supported-versions.php
- Qualys — PHP announces critical security release for two vulnerabilitiesblog.qualys.com/vulnerabilities-threat-research/2026/10/20/php-announces-critical-security-release-for-two-vulnerabilities
Gửi tên miền, Uptech kiểm tra lỗ hổng PHP miễn phí
Gửi tên miền website và nơi đang đặt website (hosting, VPS). Uptech kiểm tra phiên bản PHP, mức rủi ro PHP2Shell và báo phương án vá, chi phí trọn gói kèm hoá đơn VAT.
- Ưu tiên xử lý yêu cầu gấp — nhắn Zalo để được hỗ trợ ngay
- Kiểm tra hiện trạng miễn phí
- Hợp đồng, hoá đơn VAT điện tử