Lỗi zero-day nghiêm trọng trong PHP gây gián đoạn toàn cầu và yêu cầu vá khẩn cấp

Cơ sở hạ tầng web đang đối mặt với sự gián đoạn nghiêm trọng hôm nay khi hai lỗ hổng zero-day nghiêm trọng trong PHP đang bị khai thác ngoài thực tế. Nhóm phát triển PHP đã tung ra các bản vá khẩn cấp vào ngày 21 tháng 10 năm 2026, nhưng quy mô của vấn đề đã khiến các trang web chính phủ ở châu Âu và nhiều nơi khác phải tạm ngừng hoạt động. Với gần 70% các trang web phụ thuộc vào phần mềm cốt lõi này, các chuyên gia bảo mật cảnh báo rằng tin tặc có thể chiếm quyền kiểm soát hoàn toàn các máy chủ chưa được vá.

Chuyện gì đã xảy ra

Cuộc khủng hoảng xoay quanh hai lỗi cụ thể, được theo dõi dưới mã CVE-2026-109618 và CVE-2026-109619, cho phép thực thi mã từ xa. Điều này có nghĩa là kẻ tấn công có thể chạy các lệnh tùy ý trên một máy chủ dễ bị tổn thương, về cơ bản chiếm quyền sở hữu thiết bị đó. Dự án PHP đã phát hành các bản cập nhật khẩn cấp để sửa những lỗi này, nhưng cửa sổ khai thác đã mở trước khi nhiều tổ chức kịp áp dụng các bản vá. Reuters đưa tin rằng nhiều cổng thông tin chính phủ đã ngừng hoạt động hôm nay khi các quản trị viên vội vã giảm thiểu mối đe dọa hoặc tắt hệ thống để ngăn chặn sự xâm nhập.

Cloudflare, một nhà cung cấp cơ sở hạ tầng internet lớn, đã phát hiện các nỗ lực khai thác tích cực ngay sau khi thông tin được công bố. Vào lúc 3:02 sáng UTC, công ty này đã triển khai các quy tắc tường lửa ứng dụng web (WAF) để chặn lưu lượng truy cập nhắm vào các lỗ hổng cụ thể này. Các cuộc tấn công nhằm mục đích gây ra tình trạng từ chối dịch vụ, thực thi mã độc từ xa và làm lộ dữ liệu nhạy cảm. Tốc độ phản hồi từ các nhà cung cấp cơ sở hạ tầng nhấn mạnh mối nguy hiểm tức thì mà các lỗ hổng này gây ra, vốn đã được sử dụng trong các cuộc tấn công phối hợp chứ không chỉ là các chứng minh khái niệm (proof-of-concept) mang tính lý thuyết.

Phạm vi của lỗ hổng là rất lớn. Censys, một công ty lập bản đồ các thiết bị kết nối internet, đã xác định khoảng 2,58 triệu máy chủ hướng ra internet và 54,9 triệu tài sản web chạy PHP. Vì PHP hỗ trợ các hệ thống quản lý nội dung phổ biến như WordPress, Drupal, Joomla và Magento, tác động lan tỏa qua vô số trang web độc lập và ứng dụng doanh nghiệp. OpenAI, đơn vị tham gia vào nỗ lực nghiên cứu và tiếp cận cộng đồng, mô tả tình hình này là một trong những vấn đề bảo mật có tác động lớn nhất trong thời gian gần đây do mức độ phổ biến rộng rãi của phần mềm bị ảnh hưởng.

Cách thức hoạt động

Những lỗ hổng này không phải là lỗi mã mới mà là những khiếm khuyết ăn sâu đã tồn tại trong PHP suốt nhiều thập kỷ. Theo các nhà nghiên cứu tại Wiz, mọi phiên bản PHP được phát hành trong mười năm qua đều bị ảnh hưởng bởi ít nhất một trong hai lỗi này. Lý do chúng không bị phát hiện trong thời gian dài là vì độ phức tạp cực cao cần thiết để khai thác chúng. Việc liên kết các bước cần thiết để đạt được khả năng thực thi mã từ xa trước đây nằm ở giới hạn những gì các nhà nghiên cứu con người có thể thực hiện được một cách thực tế nếu không bỏ ra thời gian và nguồn lực khổng lồ.

Đột phá đến với sự hỗ trợ của các mô hình AI tiên phong. Các nhà nghiên cứu của Wiz ghi nhận rằng trí tuệ nhân tạo đã giảm đáng kể rào cản tìm thấy chuỗi khai thác, biến một khiếm khuyết lâu đời, ngủ đông thành một vũ khí tức thì. Sự thay đổi này cho thấy cách AI đang thay đổi bối cảnh lỗ hổng, cho phép tin tặc hoặc nhà nghiên cứu khám phá các chuỗi lỗi phức tạp từng được coi là quá khó để khai thác. Sau khi bị khai thác, kết quả có khả năng xảy ra là việc cài đặt các web shell, đây là những cửa hậu (backdoor) cung cấp cho kẻ tấn công một bảng điều khiển dựa trên web để kiểm soát các trang web bị nhiễm từ xa.

Chi tiết quan trọng

• Các lỗ hổng ảnh hưởng đến tất cả máy chủ web chạy PHP 5.4 trở lên.
• Các phiên bản đã được sửa lỗi là PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35.
• Khoảng 54,9 triệu tài sản web và 2,58 triệu máy chủ đang bị phơi bày.
• Các cuộc khai thác tích cực đã xuất hiện ngoài thực tế, với Cloudflare chặn các cuộc tấn công từ 3:02 sáng UTC.
• Các trang web chính phủ ở châu Âu đã ngừng hoạt động do việc công bố thông tin và sự hỗn loạn sau đó.
• Các nhà nghiên cứu của Wiz so sánh mức độ nghiêm trọng và phạm vi của sự kiện này với cuộc khủng hoảng Log4Shell năm 2021.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và lãnh đạo CNTT, sự kiện này nhấn mạnh sự mong manh của các hệ sinh thái phụ thuộc. PHP được nhúng sâu trong các đám mây, nhà cung cấp hosting và mạng phân phối nội dung (CDN). Một lỗ hổng trong lớp cốt lõi như vậy không chỉ ảnh hưởng đến một ứng dụng duy nhất; nó làm suy yếu toàn bộ stack bên dưới nó. Việc so sánh với Log4Shell là phù hợp vì, giống như framework ghi log của Java, PHP thường là một phụ thuộc chuyển tiếp (transitive dependency). Các nhà phát triển thậm chí có thể không biết họ đang chạy các phiên bản dễ bị tổn thương nếu họ dựa vào hosting được quản lý hoặc các image container cũ chưa được cập nhật.

Sự can dự của AI trong việc khám phá các cuộc khai thác này báo hiệu một kỷ nguyên mới của rủi ro bảo mật. Những khiếm khuyết từng an toàn nhờ độ phức tạp của chúng giờ đây trở thành mục tiêu khả thi. Điều này có nghĩa là các hệ thống kế thừa (legacy systems), vốn thường được các tổ chức để nguyên không vá vì cho rằng không ai có thể bẻ khóa chúng, giờ đây là những mục tiêu ưu tiên cao. Cuộc chiến để vá các lỗ hổng này có thể sẽ kéo dài vài tuần hoặc vài tháng, khi các đội ngũ phải xử lý sự phức tạp của việc cập nhật môi trường sản xuất mà không làm hỏng các chức năng hiện có. Sự phối hợp cần thiết trong toàn bộ hệ sinh thái, từ nhóm PHP đến các nhà cung cấp đám mây, cho thấy không một thực thể đơn lẻ nào có thể giải quyết vấn đề này một mình.

Bạn có thể làm gì

• Ngay lập tức kiểm tra phiên bản PHP trên máy chủ của bạn và nâng cấp lên 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35.
• Nếu bạn sử dụng hosting được quản lý, hãy liên hệ với nhà cung cấp để xác nhận khi nào các image đã được vá của họ sẽ sẵn có.
• Xem xét nhật ký tường lửa ứng dụng web để tìm các yêu cầu POST bất thường hoặc dấu hiệu cài đặt web shell.
• Cập nhật các gói hệ điều hành cơ bản, chẳng hạn như các gói PHP mới do Ubuntu phát hành.
• Kiểm toán bất kỳ ứng dụng PHP tùy chỉnh nào để tìm dấu hiệu tạo hoặc sửa đổi tệp trái phép.
• Theo dõi SANS Internet Storm Center để cập nhật liên tục và các chiến lược giảm thiểu mới nổi.