Lỗ hổng PHP2shell (CVE-2026-109618): doanh nghiệp cần làm gì?

Tháng 10/2026, PHP – ngôn ngữ đứng sau rất nhiều website và hệ thống quản lý doanh nghiệp – được công bố có hai lỗ hổng bảo mật nghiêm trọng. Nói ngắn gọn: nếu hệ thống của bạn chạy PHP, việc cần làm trước tiên là cập nhật PHP lên bản đã vá.

Nếu hệ thống đang dùng PHP quá cũ, không thể cập nhật ngay, bạn cần áp dụng biện pháp tạm thời và sớm lên kế hoạch nâng cấp. Bài viết này dành cho chủ doanh nghiệp và người quản lý không chuyên về IT: chuyện gì đã xảy ra, hôm nay cần kiểm tra gì và nên yêu cầu đơn vị phát triển hay nhà cung cấp hosting làm gì.

Chuyện gì đã xảy ra: lỗ hổng PHP2shell

Ngày 21/10/2026, nhóm phát triển PHP phát hành bản vá cho hai lỗ hổng CVE-2026-109618 và CVE-2026-109619. Khi kết hợp với nhau, chúng được gọi là PHP2shell.

CVSS là thang điểm chuẩn từ 0 đến 10 dùng để đánh giá mức độ nghiêm trọng của lỗ hổng. Điểm 9.2 thuộc nhóm "nghiêm trọng" (critical) cao nhất.

Diễn biến tháng 10/2026

• 21/10

  PHP phát hành bản vá

  PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35 khắc phục cả hai lỗ hổng.

• 22/10

  Nhật Bản phát cảnh báo

  IPA (Cơ quan Xúc tiến Công nghệ Thông tin Nhật Bản) và JPCERT/CC kêu gọi áp dụng bản vá.

• 23/10

  Thêm một vấn đề liên quan

  CVE-2026-115560 chưa có bản vá; tạm thời cần đổi cấu hình (xem bên dưới).

• 26/10

  Xác nhận đã bị khai thác

  Cơ quan CISA của Mỹ đưa cả hai lỗ hổng vào danh sách lỗ hổng đã bị khai thác trên thực tế.

• 27/10

  Chưa ghi nhận thiệt hại tại Nhật

  IPA cho biết đến thời điểm này chưa nắm được vụ việc nào tại Nhật Bản.

Văn phòng An ninh mạng quốc gia của chính phủ Nhật cũng kêu gọi áp dụng bản vá càng sớm càng tốt, và khuyến nghị tạm dừng website nếu chưa vá được. Nhiều dịch vụ trực tuyến lớn ở Nhật đã tạm ngừng để bảo trì khẩn cấp.

Kẻ tấn công có thể làm gì?

Điều khiến PHP2shell nguy hiểm là nó hoạt động không cần đăng nhập, tấn công thẳng từ Internet. Đơn giản hóa, một cuộc tấn công diễn ra như sau:

1Dò tìm mục tiêuCông cụ tự động quét website có lỗ hổng

2Gửi yêu cầu độc hạiKhông cần đăng nhập

3Mã chạy trên máy chủChương trình của kẻ tấn công được thực thi

4Thiệt hạiWebsite bị sửa, dữ liệu bị lấy cắp

Doanh nghiệp của tôi có bị ảnh hưởng không?

Không chắc mình có dùng PHP hay không? Nhiều khả năng là có nếu:

• Website được làm bằng WordPress (WordPress chạy trên PHP).
• Website hoặc form liên hệ đặt trên hosting thuê ngoài.
• Bạn có hệ thống đặt lịch, đặt hàng, quản lý hội viên… do một công ty bên ngoài làm.
• Tài liệu hệ thống có nhắc tới Laravel hoặc CakePHP.

Cách kiểm tra phiên bản PHP

Các phiên bản đã được vá

Việc cần làm ngay hôm nay

1. Liệt kê các hệ thống dùng PHP

   Website, form, công cụ nội bộ: ghi lại tất cả những gì bạn nghĩ ra.

2. Liên hệ đơn vị đang bảo trì

   Hỏi: "Bên anh chị đang xử lý lỗ hổng PHP2shell thế nào?"

3. Yêu cầu cập nhật PHP

   Đề nghị kiểm thử trên môi trường thử nghiệm trước khi đưa lên hệ thống thật.

4. Chưa cập nhật được thì xử lý tạm thời

   Giới hạn trang quản trị chỉ cho mạng nội bộ, tắt hệ thống không dùng, hoặc tạm dừng website.

5. Kiểm tra dấu hiệu bị tấn công

   JPCERT/CC khuyến nghị xem log (nhật ký máy chủ) để phát hiện tiến trình PHP bị dừng bất thường liên tục, file lạ hoặc kết nối ra ngoài đáng ngờ.

Nếu vẫn đang dùng PHP 7.4 hoặc 5.x

Đây là trường hợp khó nhất. PHP 8.1 trở về trước không còn được cập nhật thường xuyên.

• Nhóm PHP có công bố bản sửa tối thiểu dạng mã nguồn cho 7.4, 8.0 và 8.1, nhưng muốn dùng phải tự biên dịch PHP – việc đòi hỏi chuyên môn.
• Theo nghiên cứu được IPA dẫn lại, PHP từ 5.4 trở lên bị ảnh hưởng bởi ít nhất một trong hai lỗ hổng.

IPA khuyến nghị hạn chế truy cập hoặc tạm dừng dịch vụ nếu không vá được, và về lâu dài cần xem lại hệ thống còn cần thiết không, có thể thay thế không, có đủ ngân sách và nhân lực để duy trì không.

Thực tế, dù tạm thời xử lý thế nào, hệ thống PHP cũ sớm muộn cũng cần nâng cấp lên PHP 8. Xem thêm chi phí và quy trình nâng cấp PHP.

Không còn ai để hỏi?

Chúng tôi thường nghe:

• Công ty làm ra hệ thống không liên lạc được.
• Không có tài liệu nào cả.
• Người phụ trách đã nghỉ việc, không ai hiểu hệ thống.

Đừng bỏ cuộc. Mã nguồn trên máy chủ vẫn cho biết chính xác hệ thống hoạt động thế nào. Xem tiếp nhận bảo trì hệ thống không có tài liệu.

Câu hỏi thường gặp

Digi Dinos có thể giúp gì

Digi Dinos là công ty phần mềm có văn phòng tại Việt Nam và Nhật Bản (Yokohama), 8 năm kinh nghiệm và hơn 150 dự án. Đội ngũ nói tiếng Nhật của chúng tôi chăm lo các hệ thống PHP cũ: vá lỗ hổng, nâng cấp và tiếp nhận bảo trì.

Chúng tôi cũng tiếp nhận hệ thống cũ viết bằng các ngôn ngữ khác.