The PHP Foundation vừa phát hành bản vá bảo mật khẩn cấp vào lúc 14:00 UTC ngày 21 tháng 10 để giải quyết hai lỗ hổng trong lõi PHP, mỗi ổ được đánh giá CVSS v4.0 = 9.2.

Hai ổ được định nghĩa là CVE-2026-109618 và CVE-2026-109619 (đồng gọi là PHP2Shell). Cả hai đều cho phép tấn công thực thi Remote Code Execution (RCE) không cần xác thực trên web chạy PHP của máy chủ.

-PHP 8.5.12 -PHP 8.4.27 -PHP 8.3.36 -PHP 8.2.35

*PHP 8.1 và các phiên bản cũ hơn không nhận được phiên bản chính thức từ dự án PHP. Một số nhà phân phối (distro) hoặc nhà cung cấp LTS có thể cung cấp bản backport.*

Lỗi ảnh hưởng đến mọi cài đặt web yêu cầu dịch vụ PHP (PHP-FPM, Apache mod\_php, php-cgi, FrankenPHP, LiteSpeed…). Mức độ rủi ro cao nhất được ghi nhận với mod\_php. Chi tiết kỹ thuật đã bị rò rỉ sớm và đã có dấu hiệu tấn công xuất hiện trước khi vá được công bố chính thức.

- Người dùng PHP 8.2 trở lên cần cập nhật ngay các phiên bản đã được vá. - Nếu đang sử dụng khorpms.remirepo.net, cần chuyển sang gói của bản phân phối hoặc bản dựng từ nguồn để có thể áp dụng bản vá kịp thời (repo này không phát hành bản cập nhật or trong ngày 21/10). - Các giải pháp tạm thời (tắt session.upload\_progress.enabled, giới hạn kích thước yêu cầu…) chỉ giúp giảm một phần rủi ro, không thay thế cập nhật cập nhật.

Đây là một trong những sự cố bảo mật nghiêm trọng nhất đối với hệ sinh thái PHP trong thời gian gần đây do phạm vi ảnh hưởng rộng rãi và khả năng khai thác thác từ xa.