AI phát hiện các lỗ hổng PHP nghiêm trọng ảnh hưởng đến 70% web

Vào ngày 21 tháng 10 năm 2026, nhóm phát triển PHP đã công bố các bản vá khẩn cấp cho những lỗ hổng nghiêm trọng trong engine lõi của ngôn ngữ này. Wiz Research đã phát hiện ra các lỗi này bằng cách sử dụng trí tuệ nhân tạo tiên tiến, tiết lộ rằng gần như mọi phiên bản PHP được phát hành trong mười năm qua đều dễ bị tấn công thực thi mã từ xa hoặc đánh cắp dữ liệu nhạy cảm. Những phát hiện này tác động đến khoảng 70% tổng số trang web trên toàn cầu, bao gồm các nền tảng lớn như WordPress, Drupal và Wikipedia.

Chuyện gì đã xảy ra

Wiz Research đã xác định nhiều vấn đề nghiêm trọng về an toàn bộ nhớ ngay trong lõi PHP, độc lập với bất kỳ ứng dụng cụ thể nào chạy trên đó. Các lỗ hổng này, được theo dõi dưới mã CVE-2026-109618 và CVE-2026-109619, cho phép kẻ tấn công không cần xác thực có thể thực thi mã tùy ý trên các máy chủ bị ảnh hưởng hoặc đọc bộ nhớ quy trình chứa mật khẩu, khóa API và token xác thực. Các lỗi này bắt nguồn từ cách PHP xử lý các lỗi nghiêm trọng (fatal errors), đặc biệt là tình trạng hết bộ nhớ (out-of-memory) trong quá trình xử lý yêu cầu. Khi một yêu cầu thất bại bất ngờ, trạng thái nội bộ có thể bị hỏng, để lại các con trỏ treo (dangling pointers) mà các yêu cầu sau đó có thể vô tình tái sử dụng.

Phát hiện này đánh dấu một bước chuyển dịch quan trọng trong nghiên cứu lỗ hổng bảo mật. Mặc dù đoạn mã lỗi đã tồn tại hơn một thập kỷ, việc chứng minh khả năng khai thác nó đòi hỏi phải kết nối các nguyên tử làm hỏng bộ nhớ phức tạp xuyên suốt các phiên bản và cấu hình PHP khác nhau. Trước đây, mức độ phân tích như vậy sẽ đòi hỏi hàng tháng trời nỗ lực từ một đội ngũ lớn các nhà nghiên cứu bảo mật ưu tú. Trong trường hợp này, các mô hình AI tiên tiến đã giúp một nhà nghiên cứu duy nhất phát triển các exploit hoạt động hiệu quả chỉ trong vòng một tuần. Quá trình công bố phối hợp liên quan đến sự hợp tác với nhóm PHP, OpenAI, Calif và các nhà cung cấp đám mây lớn để đảm bảo các biện pháp giảm thiểu đã sẵn sàng trước khi công khai.

Cách thức hoạt động

Các lỗ hổng xuất phát từ điều kiện tranh chấp (race conditions) và lỗi quản lý trạng thái trong quá trình xử lý lỗi. Một lỗi liên quan đến trình xử lý tiến trình tải lên phiên (session upload-progress handler). Nếu xảy ra lỗi hết bộ nhớ khi giải mã dữ liệu phiên, trạng thái unserializer toàn cục vẫn được công bố ngay cả sau khi heap của yêu cầu bị hủy. Một yêu cầu sau đó được xử lý bởi cùng một quy trình worker có thể chiếm lại vùng bộ nhớ đã được giải phóng đó, lừa PHP coi dữ liệu do kẻ tấn công kiểm soát là sổ sách kế toán nội bộ hợp lệ. Nguyên tử use-after-free này cho phép làm hỏng bộ nhớ và, khi kết hợp với rò rỉ thông tin, dẫn đến thực thi mã từ xa.

Một vector tấn công khác liên quan đến cơ chế backtrace lỗi nghiêm trọng. PHP lưu giữ backtrace của lỗi nghiêm trọng cuối cùng trong một biến toàn cục. Nếu một lỗi nghiêm trọng hết bộ nhớ hủy heap của yêu cầu mà không xóa con trỏ toàn cục này, worker sẽ sống sót với một tham chiếu treo. Khi yêu cầu tiếp theo kích hoạt đầu ra chẩn đoán, PHP truy cập vào con trỏ cũ này, lúc này đang chỉ vào bộ nhớ đã bị kẻ tấn công chiếm lại. Lỗi use-after-free xuyên yêu cầu này cho phép làm hỏng bộ nhớ có kiểm soát. Ngoài ra, nhầm lẫn kiểu dữ liệu (type confusion) trong bộ nhớ chia sẻ OPcache cho phép kẻ tấn công làm hỏng trạng thái chia sẻ giữa các quy trình worker khác nhau, tạo điều kiện thuận lợi hơn nữa cho việc khai thác trên các nền tảng như WordPress.

Chi tiết chính

• Phạm vi: Ảnh hưởng đến các phiên bản PHP từ 5.4 trở đi, tác động đến khoảng 70% tất cả các trang web.
• Mức độ nghiêm trọng: Điểm CVSS là 9.2, cho phép thực thi mã từ xa không cần xác thực và tiết lộ bộ nhớ.
• Phương pháp phát hiện: Các mô hình AI tiên tiến (Gemini 4 Argon, GPT-5.6 Sol) đã rút ngắn thời gian phát triển exploit từ vài tháng xuống còn vài tuần.
• Tác động: Đã chứng minh khả năng khai thác trên WordPress, Drupal và Joomla mà không cần các lỗi ở cấp độ ứng dụng.
• Ngày vá lỗi: Các bản sửa lỗi chính thức đã được nhóm PHP phát hành vào ngày 21 tháng 10 năm 2026.
• Hợp tác: Phối hợp với AWS, Cloudflare, Google, Microsoft và các bên khác để giảm thiểu rộng rãi.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và trưởng nhóm hạ tầng, sự cố này nhấn mạnh rằng các codebase cũ chứa đựng những rủi ro hệ thống sâu sắc mà việc kiểm toán truyền thống thường bỏ sót. Việc các lỗi này tồn tại trong mười năm mà không bị phát hiện gợi ý rằng nhiều thư viện nền tảng khác cũng có thể chứa các lỗ hổng tiềm ẩn tương tự. Sự phụ thuộc vào PHP cho hạ tầng web quan trọng có nghĩa là ngay cả mã ứng dụng an toàn cũng không thể bảo vệ chống lại các lỗi trong môi trường runtime cơ bản. Các đội ngũ phải giả định rằng các dependency của họ dễ bị tổn thương cho đến khi được chứng minh ngược lại và ưu tiên các chu kỳ vá lỗi nhanh chóng.

Vai trò của AI trong phát hiện này thay đổi vĩnh viễn bối cảnh mối đe dọa. Độ phức tạp không còn là một cơ chế phòng thủ đáng tin cậy. Nếu AI có thể kết nối các lỗi bộ nhớ obscure thành các exploit hoạt động trong vài ngày, thì kẻ tấn công sẽ sớm sở hữu cùng khả năng đó. Điều này chuyển lợi thế từ những người che giấu độ phức tạp sang những người có thể tự động hóa việc phát hiện và khắc phục ở quy mô lớn. Các chiến lược bảo mật phải phát triển để bao gồm quét lỗ hổng hỗ trợ bởi AI và bảo vệ runtime, vì việc xem xét mã thủ công đơn thuần là không đủ để xác định các lỗi sâu ở cấp độ engine này.

Bạn có thể làm gì

• Cập nhật cài đặt PHP của bạn lên phiên bản đã vá mới nhất được phát hành vào ngày 21 tháng 10 năm 2026 ngay lập tức.
• Nếu không thể vá lỗi ngay lập tức, hãy triển khai các quy tắc tường lửa ứng dụng web (WAF) để chặn các yêu cầu multipart bất thường và giám sát các lỗi HTTP 500.
• Xem xét nhật ký máy chủ để tìm dấu hiệu khai thác, chẳng hạn như sự churn (thay đổi/thoát) bất thường của worker PHP hoặc cookie phiên bị sai định dạng.
• Bật bảo vệ ứng dụng runtime tự động (RASP) hoặc các công cụ tương tự có thể phát hiện hành vi làm hỏng bộ nhớ.
• Kiểm toán chuỗi dependency của bạn để xác định tất cả các dịch vụ đang chạy các phiên bản PHP bị ảnh hưởng, bao gồm cả môi trường container hóa.
• Áp dụng giới hạn bộ nhớ chặt chẽ và giám sát để phát hiện các điều kiện hết bộ nhớ có thể kích hoạt những lỗ hổng này.