PHP2Shell là gì? Giải thích lỗ hổng CVE-2026-109618 và CVE-2026-109619
PHP2Shell là tên gọi chung của hai lỗ hổng CVE-2026-109618 và CVE-2026-109619 trong lõi PHP, được php.net công bố ngày 21/10/2026 với mức nghiêm trọng CVSS 9.2. Kẻ tấn công có thể gửi request từ xa, không cần đăng nhập, để chạy mã trên máy chủ web. Cách khắc phục đầy đủ duy nhất là cập nhật lên PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35.
Gần như mọi website PHP — WordPress, WooCommerce, Magento, Laravel, website tự viết — đều chạy trên lõi PHP bị ảnh hưởng. Bài này tóm tắt lỗ hổng bằng ngôn ngữ dễ hiểu cho chủ doanh nghiệp và người quản trị website.
Hai lỗ hổng trong PHP2Shell
Cả hai lỗi nằm ở cách PHP xử lý tình huống hết bộ nhớ (out-of-memory) và dọn dẹp dữ liệu giữa các request. Khi một request làm PHP hết bộ nhớ đúng lúc, dữ liệu nội bộ có thể bị bỏ lại ở trạng thái hỏng, và request tiếp theo do cùng tiến trình xử lý sẽ dùng nhầm dữ liệu đó.
Theo phân tích của Wiz, kẻ tấn công có thể biến lỗi này thành chạy mã từ xa (RCE), và một nhánh lỗi còn làm lộ bộ nhớ tiến trình qua cookie PHPSESSID — ngay cả khi ứng dụng không gọi session_start().
| Mã lỗ hổng | Thành phần | Hậu quả |
|---|---|---|
| CVE-2026-109618 | Xử lý hết bộ nhớ khi khởi tạo request, phần theo dõi tiến trình upload của session | Chạy mã từ xa, lộ bộ nhớ tiến trình |
| CVE-2026-109619 | Trạng thái nội bộ còn sót giữa các request (backtrace lỗi, OPcache) | Chạy mã từ xa |
Vì sao lỗ hổng này nghiêm trọng
Lỗi bị kích hoạt trước khi code của website chạy, nên plugin bảo mật, tường lửa trong WordPress hay code ứng dụng không chặn được. Kẻ tấn công không cần tài khoản, chỉ cần gửi request đến website.
- Mức nghiêm trọng CVSS 9.2 theo thông báo của php.net.
- Ảnh hưởng gần như mọi phiên bản PHP từ 5.4 trở lên (theo Wiz).
- Mọi cách chạy PHP phục vụ web đều bị ảnh hưởng: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP, LiteSpeed.
- Amazon ghi nhận một lần thử khai thác ngày 17/10/2026, bốn ngày trước khi lỗ hổng được công bố.
Bản vá và việc cần làm ngay
Ngày 21/10/2026, PHP phát hành bản vá cho các nhánh còn hỗ trợ. php.net nói rõ không có biện pháp giảm thiểu nào hoàn chỉnh; cập nhật lên bản đã vá là cách khắc phục an toàn duy nhất.
- Kiểm tra website đang chạy PHP bản nào (xem bài hướng dẫn kiểm tra).
- Cập nhật lên 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35, rồi khởi động lại PHP-FPM hoặc web server.
- Còn chạy PHP 8.1 trở về trước: lên kế hoạch nâng cấp phiên bản ngay.
- Trong lúc chờ: bật luật WAF của Cloudflare hoặc nhà cung cấp hosting — chỉ là lớp chắn tạm.
Câu hỏi thường gặp
Giải đáp nhanh những điểm doanh nghiệp hay hỏi về chủ đề này.
PHP2Shell có ảnh hưởng tới WordPress không?
Có. WordPress chạy trên PHP nên mọi website WordPress dùng phiên bản PHP chưa vá đều bị ảnh hưởng, bất kể đang dùng plugin hay giao diện nào. Cập nhật WordPress không vá được lỗi này; phải cập nhật PHP trên máy chủ.
Website của tôi có dữ liệu ít, có cần vá gấp không?
Có. Kẻ tấn công thường quét tự động toàn bộ Internet, không chọn website lớn hay nhỏ. Máy chủ bị chiếm có thể bị cài mã độc, gửi thư rác, chuyển hướng khách sang trang lừa đảo hoặc làm bàn đạp tấn công website khác trên cùng máy chủ.
Đã có Cloudflare thì có an toàn chưa?
Chưa hoàn toàn. Cloudflare đã đưa luật WAF chặn các kiểu khai thác đã biết, kể cả với gói miễn phí, nhưng đây chỉ là lớp giảm thiểu một phần. Website vẫn cần cập nhật PHP lên bản đã vá.
Tài liệu chính thức được dẫn trong bài
- php.net — Security advisory: Critical remote code execution vulnerabilities (21/10/2026)www.php.net/archive/2026.php#2026-10-21-5
- php.net — Bản phát hành PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35www.php.net/archive/2026.php
- Wiz — PHP2Shell: critical RCE vulnerabilities in PHPwww.wiz.io/blog/php2shell-php-rce
- Help Net Security — PHP2Shell: Critical PHP vulnerabilities patchedwww.helpnetsecurity.com/2026/10/21/php2shell-php-vulnerabilities-patched-cve-2026-109618-cve-2026-109619/
Gửi tên miền, Uptech kiểm tra lỗ hổng PHP miễn phí
Gửi tên miền website và nơi đang đặt website (hosting, VPS). Uptech kiểm tra phiên bản PHP, mức rủi ro PHP2Shell và báo phương án vá, chi phí trọn gói kèm hoá đơn VAT.
- Ưu tiên xử lý yêu cầu gấp — nhắn Zalo để được hỗ trợ ngay
- Kiểm tra hiện trạng miễn phí
- Hợp đồng, hoá đơn VAT điện tử