The PHP Foundation vừa phát hành bản vá bảo mật khẩn cấp vào lúc 14:00 UTC ngày 21 tháng 10 để khắc phục hai lỗ hổng nghiêm trọng trong lõi PHP, mỗi lỗ hổng được đánh giá CVSS v4.0 = 9.2.

Hai lỗ hổng được định danh là CVE-2026-109618 và CVE-2026-109619 (cộng đồng gọi là PHP2Shell). Cả hai đều cho phép kẻ tấn công thực hiện Remote Code Execution (RCE) không cần xác thực trên các máy chủ web chạy PHP.

- PHP 8.5.12 - PHP 8.4.27 - PHP 8.3.36 - PHP 8.2.35

*PHP 8.1 và các phiên bản cũ hơn không nhận bản vá chính thức từ dự án PHP. Một số nhà phân phối (distro) hoặc nhà cung cấp LTS có thể cung cấp bản backport.*

Lỗ hổng ảnh hưởng đến mọi cài đặt PHP phục vụ request web (PHP-FPM, Apache mod\_php, php-cgi, FrankenPHP, LiteSpeed…). Mức độ rủi ro cao nhất được ghi nhận với mod\_php. Chi tiết kỹ thuật đã bị rò rỉ sớm, và đã có dấu hiệu tấn công xuất hiện trước khi bản vá được công bố chính thức.

- Người dùng PHP 8.2 trở lên cần cập nhật ngay lên các phiên bản đã được vá. - Nếu đang sử dụng kho rpms.remirepo.net, cần chuyển sang gói của distro hoặc build từ source để có thể áp dụng bản vá kịp thời (repo này không phát hành bản cập nhật trong ngày 21/10). - Các biện pháp tạm thời (tắt session.upload\_progress.enabled, giới hạn kích thước request…) chỉ giúp giảm một phần rủi ro, không thay thế được việc cập nhật.

Đây là một trong những sự cố bảo mật nghiêm trọng nhất đối với hệ sinh thái PHP trong thời gian gần đây do phạm vi ảnh hưởng rộng và khả năng bị khai thác từ xa.