Lỗ hổng nghiêm trọng trong PHP đe dọa hàng triệu trang web toàn cầu

Cập nhật 23/10/2026.

Các nhà nghiên cứu bảo mật đã phát hiện hai lỗ hổng nghiêm trọng trong PHP có thể cho phép kẻ tấn công thực thi lệnh từ xa trên máy chủ web. Trí tuệ nhân tạo đã đóng vai trò then chốt trong việc xác định các sai sót và minh họa mức độ nghiêm trọng của chúng. Hàng chục công ty và dịch vụ chính phủ trên toàn cầu đã tạm thời đóng trang web trong khi các bản vá bảo mật được cài đặt. Trong khi đó, Cloudflare đã ghi nhận hàng triệu nỗ lực khai thác và con số này nhiều khả năng tiếp tục tăng lên.

Hàng chục website bị tắt ở nhiều quốc gia khi Cloudflare ghi nhận hàng triệu nỗ lực tấn công

Vào ngày 21/10/2026, các website chính phủ và dịch vụ trực tuyến ở nhiều quốc gia bắt đầu ngừng hoạt động như một biện pháp phòng ngừa khẩn cấp. Nguyên nhân là hai lỗ hổng nghiêm trọng trong PHP, ngôn ngữ lập trình được sử dụng cho xấp xỉ 70% website trên toàn cầu. Hai lỗ hổng này, được gán mã CVE-2026-109618 và CVE-2026-109619 và chung tên gọi PHP2Shell, có thể cho phép kẻ tấn công thực thi mã độc từ xa trên máy chủ trong những điều kiện nhất định.

Tại Hà Lan, các cổng dịch vụ điện tử của chính phủ tạm thời không truy cập được, trong khi một số dịch vụ của cơ quan chính phủ ở Phần Lan cũng bị ảnh hưởng. Các biện pháp tương tự đã được áp dụng ở Pháp, Đức, Bỉ và các quốc gia khác. Việc đóng cửa cũng ảnh hưởng đến website của bệnh viện, cơ sở giáo dục và doanh nghiệp tư nhân.

Các tổ chức đã hạn chế truy cập vào website để bảo vệ khỏi nguy cơ tấn công cho đến khi cài xong cập nhật bảo mật. Mối lo ngại của họ là có cơ sở: tội phạm mạng đã bắt đầu cố gắng khai thác lỗ hổng trước khi thông tin được công khai. Mười giờ trước khi công bố chính thức, Cloudflare đã ghi nhận vài nghìn nỗ lực khai thác. Sau khi công bố, hoạt động độc hại tăng vọt. Chỉ trong 45 phút đầu, số lần thử đã đạt tới hàng chục nghìn. Sau hai giờ, con số tăng lên hàng trăm nghìn. Đến ngày 22/10/2026, hàng triệu nỗ lực khai thác đã được ghi nhận.

AI đã giúp minh chứng mức độ nghiêm trọng của một lỗ hổng PHP được phát hiện lần đầu vào năm 2024

PHP developers lần đầu phát hiện dấu hiệu của một trong các lỗ hổng vào năm 2024. Sau một cuộc kiểm toán bảo mật độc lập, các nhà nghiên cứu nhận thấy vấn đề quản lý bộ nhớ và nghi ngờ nó có thể bị khai thác. Tuy nhiên, khi đó họ chưa thể chứng minh lỗ hổng dẫn tới thực thi mã từ xa. Việc sửa lỗi bị hoãn vì những thay đổi có thể làm gián đoạn tương thích giữa PHP và các thành phần khác, đồng thời đội phát triển nhỏ thiếu nguồn lực để xử lý một vấn đề phức tạp như vậy.

Tình hình thay đổi vào mùa hè năm 2026, khi trí tuệ nhân tạo được đưa vào điều tra. Vào ngày 11/08/2026, một nhà nghiên cứu từ Calif đã sử dụng mô hình GPT-5.6 Sol để xác nhận rằng lỗ hổng có thể cho phép thực thi mã từ xa không cần xác thực trên một máy chủ. Nhà nghiên cứu đã báo cáo phát hiện cho các maintainer của PHP. Cùng ngày, OpenAI độc lập gửi báo cáo nêu cùng vấn đề. Các nhà nghiên cứu tại Wiz sau đó trình bày phát hiện của họ, sử dụng nhiều công cụ AI, trong đó có Gemini 4 Argon. Các mô hình AI này giúp phân tích mã nguồn, phát triển kịch bản PoC khai thác và thử nghiệm các cách khắc phục tiềm năng.

Khi các nhà nghiên cứu chứng minh được mức độ nghiêm trọng, việc khắc phục trở thành ưu tiên hàng đầu cho Quỹ PHP. Vào ngày 21/10/2026, các maintainer của PHP phát hành các phiên bản đã được vá: 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Cả hai lỗ hổng, mỗi lỗ hổng có điểm mức độ nghiêm trọng 9,2/10, đều được sửa trong các bản phát hành này.

Cách bảo vệ website của bạn trong kỷ nguyên AI

Trí tuệ nhân tạo đang giúp các nhà nghiên cứu bảo mật phát hiện lỗ hổng phần mềm nhanh hơn, kể cả những sai sót đã tồn tại nhiều năm mà chưa được chú ý. Ví dụ, khoảng 2.700 lỗ hổng nghiêm trọng đã được phát hiện trên toàn cầu trong quý 2 năm 2026, tăng 34% so với cùng kỳ năm trước. Chuyên gia cho rằng một phần nguyên nhân là do việc sử dụng AI ngày càng nhiều, giúp phân tích lượng lớn mã nguồn hiệu quả hơn.

Tuy nhiên, tội phạm mạng cũng có thể dùng AI để nghiên cứu lỗ hổng mới và phát triển phương pháp tấn công nhanh hơn. Hệ quả là các tổ chức ngày càng có ít thời gian hơn giữa lúc công bố lỗ hổng và các nỗ lực khai thác đầu tiên.

Để nâng cao an toàn cho website, chủ quản website và quản trị viên máy chủ nên thực hiện các bước sau:

• Theo dõi thông báo bảo mật và cài đặt cập nhật kịp thời. Khi một lỗ hổng nghiêm trọng được công bố, việc áp dụng bản vá tương ứng càng sớm càng quan trọng. Đối với PHP2Shell, chủ website nên nâng cấp PHP lên phiên bản an toàn. Nếu không thể cập nhật ngay lập tức, hãy tạm thời hạn chế truy cập mạng công cộng tới dịch vụ dễ bị tổn thương.
• Bảo vệ website khỏi nỗ lực khai thác. Sử dụng tường lửa ứng dụng web (WAFs) để phân tích các yêu cầu đến và chặn lưu lượng độc hại. Ví dụ, WAF của Kaspersky sử dụng học máy và quy tắc lọc để nhận diện yêu cầu đáng ngờ, bao gồm các nỗ lực khai thác lỗ hổng trong mã ứng dụng web. Biện pháp này giúp giảm rủi ro tấn công trong khi quản trị viên triển khai bản vá bảo mật.
• Giám sát an ninh máy chủ và phiên bản phần mềm. Thường xuyên kiểm tra phiên bản phần mềm đã cài, bao gồm ứng dụng và dịch vụ ít được dùng hoặc cũ. Điều này giúp phát hiện hệ thống có thể đã bỏ lỡ các bản vá quan trọng.

Bài viết liên quan:

• Lỗ hổng zero-day là gì? Định nghĩa và giải thích
• Cách AI và học máy trong an ninh mạng đang định hình tương lai
• Các mối đe dọa trên web là gì?

Sản phẩm đề xuất:

• Kaspersky Premium
• Tải xuống bản dùng thử Kaspersky Premium miễn phí 30 ngày
• Kaspersky Small Office Security