PHP phát hành bản vá cho hai lỗi nghiêm trọng PHP2Shell

Ngày 21/10/2026, dự án PHP phát hành bản vá cho hai lỗi nghiêm trọng, thường được gọi chung là PHP2Shell. Hai mã định danh là CVE-2026-109618 và CVE-2026-109619, mỗi lỗi được chấm 9,2 theo thang CVSS. Trong một số điều kiện nhất định, kẻ tấn công không cần đăng nhập vẫn có thể chạy mã trên máy chủ web.

Các bản vá đã phát hành

Các bản đã vá là PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Với hệ thống đang chạy một nhánh được hỗ trợ, bước xử lý là cập nhật lên đúng bản vá của nhánh đó, sau đó khởi động lại tiến trình PHP để bản vá có hiệu lực.

Việc kiểm tra cần dựa trên phiên bản mà máy chủ web đang chạy thực tế, không chỉ dựa trên phiên bản ghi trong tài liệu dự án, vì hai con số này không phải lúc nào cũng trùng nhau. Một lỗi ở ngôn ngữ hay thư viện nền tảng có phạm vi ảnh hưởng rộng, do nhiều thành phần trong chuỗi xử lý yêu cầu web cùng sử dụng. Hệ thống có thể chịu rủi ro ngay cả khi không trực tiếp dùng đoạn mã chứa lỗi, chỉ cần một thành phần liên quan sử dụng nó.

Lỗi Brotli liên quan tới Node.js, Bun và Envoy

Cũng trong đợt này, OpenAI công bố một lỗi trong Brotli, công cụ nén dữ liệu được dùng rộng rãi. Theo thông tin công bố, kẻ tấn công có thể gửi dữ liệu độc hại để chạy mã trên hệ thống bị ảnh hưởng, trong đó có các phần mềm web phổ biến như Node.js, Bun và Envoy.

Nguyên nhân gốc đã được sửa trong mã nguồn Brotli từ tháng 2, trước khi lỗi được xác định là lỗ hổng bảo mật, nhưng khi đó chưa có bản phát hành mới. Sau khi OpenAI công bố, Brotli đã phát hành bản cập nhật và công khai hồ sơ lỗi. Diễn biến này cho thấy bản sửa trong mã nguồn chỉ thực sự bảo vệ người dùng khi được phát hành và được cài đặt trên hệ thống đang vận hành.

Vụ việc LiteLLM và yêu cầu xoay lại thông tin xác thực

Một vụ việc khác xảy ra ngày 21/10/2026, liên quan tới LiteLLM, cổng nguồn mở giúp truy cập nhiều nhà cung cấp mô hình ngôn ngữ. Bản 1.107.0 bị phát tán qua PyPI và Docker trong thời gian ngắn đã chứa mã đánh cắp thông tin xác thực và tạo cửa hậu truy cập từ xa.

Với trường hợp này, cập nhật phần mềm chưa đủ. Các hệ thống từng cài bản 1.107.0 cần xoay lại toàn bộ thông tin xác thực có thể đã lộ, gồm khóa API, thông tin cloud và token của developer, đồng thời dựng lại môi trường bị ảnh hưởng.

Khuyến nghị xử lý trong tuần này

Đối với website, ứng dụng web hay máy chủ dùng PHP, Node.js hoặc LiteLLM, thứ tự xử lý được khuyến nghị như sau.

Thứ nhất, lập danh sách các hệ thống đang chạy PHP và phiên bản thực tế của từng hệ thống. Thứ hai, cập nhật nhánh được hỗ trợ lên bản vá, rồi khởi động lại tiến trình PHP. Thứ ba, rà soát log và dấu hiệu bất thường trong khoảng thời gian trước và sau ngày công bố. Thứ tư, nếu từng cài LiteLLM 1.107.0, cần coi thông tin xác thực liên quan là đã lộ và xoay lại ngay, không chờ xác nhận hệ thống có bị khai thác hay không. Thứ năm, ghi lại đơn vị đã cập nhật, thời điểm cập nhật và các hệ thống còn chưa hoàn thành.

Với hệ thống dùng phiên bản đã hết hỗ trợ, không còn bản vá chính thức để chờ. Các biện pháp tạm thời như ngắt kết nối, giới hạn truy cập hay đưa hệ thống ra sau lớp bảo vệ khác chỉ có tác dụng câu giờ và không thay thế lộ trình nâng cấp.

Bối cảnh: sửa lỗi vẫn chậm hơn tìm lỗi

Sovereign Tech Agency, đơn vị từng tài trợ đợt kiểm tra bảo mật PHP năm 2024, cho rằng tìm ra lỗi chỉ là bước đầu. Sửa lỗi, ngăn lỗi tương tự quay lại và duy trì mã nguồn cần đầu tư bền bỉ. Đơn vị này cũng lưu ý PHP đang dựa vào một nhóm maintainer rất nhỏ, trong khi nhiều dịch vụ công, trường học, bệnh viện và cửa hàng trực tuyến phụ thuộc vào ngôn ngữ này.

Diễn biến trên cũng phản ánh một xu hướng chung: công cụ AI đang giúp phát hiện lỗi nhanh hơn, cho cả bên phòng thủ và bên tấn công. Việc sửa một lỗi phức tạp vẫn cần người hiểu sâu mã nguồn, có thời gian và đủ thẩm quyền để quyết định, vì bản vá có thể ảnh hưởng tới các hệ thống khác.

Nguồn tham khảo:

- Sovereign Tech Agency

- The Indian Express

- Phân tích bản vá PHP