CVE-2026-109618 (PHP2Shell): Lỗ hổng RCE nghiêm trọng trong PHP và cách khắc phục

CVE-2026-109618 là một trong hai lỗ hổng nghiêm trọng của bộ xử lý PHP (được giới bảo mật đặt biệt danh “PHP2Shell”), cho phép kẻ tấn công thực thi mã từ xa (RCE) mà không cần đăng nhập. Vì mọi website WordPress đều chạy trên PHP, lỗ hổng này ảnh hưởng gián tiếp tới toàn bộ hệ sinh thái WordPress nếu máy chủ dùng phiên bản PHP chưa vá.

Thông tin nhanh

Lỗ hổng này là gì?

CVE-2026-109618 nằm ở cách PHP xử lý tình huống hết bộ nhớ (out-of-memory) ngay giữa một request. Khi PHP chạm giới hạn RAM, cơ chế xử lý lỗi dùng longjmp() để thoát ra, nhưng lại để một phần vùng nhớ của request ở trạng thái chưa khởi tạo hoàn chỉnh. Kẻ tấn công có thể cố ý đẩy tiến trình vào đúng thời điểm này để thao túng vùng nhớ và cuối cùng đạt được khả năng thực thi mã trên máy chủ.

Điểm nguy hiểm là lỗ hổng nằm ở lõi PHP, không phải ở theme hay plugin. Nghĩa là dù mã nguồn WordPress của bạn hoàn toàn sạch, website vẫn có thể bị tấn công nếu máy chủ đang chạy phiên bản PHP dính lỗi.

Vì sao nguy hiểm với website WordPress?

• Không cần tài khoản, không cần tương tác của nạn nhân — chỉ cần gửi request tới website.
• Thực thi mã từ xa đồng nghĩa với việc kẻ tấn công có thể cài mã độc, backdoor, đánh cắp dữ liệu hoặc chiếm toàn quyền máy chủ.
• Đã có mã khai thác công khai và đã bị liệt vào danh sách lỗ hổng đang bị khai thác thực tế của CISA.

Phiên bản bị ảnh hưởng & bản vá

• Bị ảnh hưởng: mọi phiên bản PHP phát hành trước 8.5.12, 8.4.27, 8.3.36, 8.2.35. Các nhánh cũ đã hết hỗ trợ (PHP 8.1, 8.0, 7.x và thậm chí PHP 5) cũng được xác nhận dính lỗi.
• Đã vá: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 (phát hành 21/10/2026). Đội ngũ PHP cũng công bố bản vá mã nguồn cho các nhánh 7.4, 8.0, 8.1.

Cách kiểm tra website của bạn

1. Đăng nhập hosting/VPS và kiểm tra phiên bản PHP đang chạy (trong cPanel/DirectAdmin → mục Select PHP Version, hoặc chạy lệnh php -v).
2. So sánh với danh sách bản vá ở trên. Nếu phiên bản của bạn thấp hơn bản vá tương ứng của nhánh đó, website đang có nguy cơ.
3. Kiểm tra nhật ký (log) máy chủ để phát hiện các dấu hiệu tấn công bất thường hoặc tiến trình lạ.

Cách khắc phục

1. Cập nhật PHP lên phiên bản đã vá của nhánh bạn đang dùng (ví dụ nhánh 8.2 thì nâng lên 8.2.35 trở lên). Đây là biện pháp triệt để.
2. Nếu dùng hosting dùng chung, liên hệ nhà cung cấp để xác nhận họ đã vá PHP trên máy chủ.
3. Nếu chưa thể cập nhật ngay, hãy bật tường lửa ứng dụng web (WAF) và theo dõi chặt chẽ log, đồng thời lên kế hoạch nâng cấp sớm nhất có thể.
4. Sau khi vá, rà soát lại website để chắc chắn chưa bị cài mã độc trong thời gian còn lỗ hổng.

Lưu ý: Việc cập nhật WordPress, theme hay plugin không khắc phục được lỗ hổng này, vì nó nằm ở lõi PHP của máy chủ. Bắt buộc phải nâng cấp phiên bản PHP.

Lỗ hổng này đi theo cặp với CVE-2026-109619 — bạn nên đọc thêm bài về CVE-2026-109619 để hiểu đầy đủ bộ đôi “PHP2Shell”.

Nếu bạn cần hỗ trợ kiểm tra phiên bản PHP, vá máy chủ hoặc rà soát mã độc sau sự cố, có thể liên hệ dịch vụ xử lý mã độc & quản trị máy chủ của chúng tôi.