CVE-2026-109619 là lỗ hổng thứ hai trong bộ đôi “PHP2Shell” (cùng với CVE-2026-109618) của bộ xử lý PHP. Đây cũng là lỗ hổng thực thi mã từ xa (RCE) không cần xác thực, mức độ nghiêm trọng, ảnh hưởng tới mọi website — bao gồm WordPress — chạy trên phiên bản PHP chưa vá.
Thông tin nhanh
| Mã CVE | CVE-2026-109619 (cặp với CVE-2026-109618) |
| Biệt danh | PHP2Shell |
| Loại lỗ hổng | Thực thi mã từ xa (RCE) do rò rỉ trạng thái cũ giữa các request (Use-After-Free / Stale Global State) |
| Sản phẩm | PHP Core (bộ thông dịch PHP) |
| Mức độ (CVSS v4.0) | 9.2 — Nghiêm trọng |
| Yêu cầu xác thực | Không (unauthenticated) |
| Phiên bản vá | PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 (phát hành 21/10/2026) |
| Tình trạng | Thuộc chiến dịch PHP2Shell đang bị khai thác thực tế (CISA KEV, tháng 10/2026) |
Lỗ hổng này là gì?
CVE-2026-109619 xuất phát từ việc PHP tái sử dụng trạng thái toàn cục (global state) còn sót lại từ một request trước đó cho request kế tiếp trên cùng một tiến trình worker (thường gặp ở mô hình PHP-FPM). Trạng thái “cũ” này có thể trỏ tới vùng nhớ đã được giải phóng, dẫn tới lỗi use-after-free và mở đường cho việc thực thi mã.
Giống như “người anh em” CVE-2026-109618, lỗ hổng nằm ở lõi PHP. Vì vậy, một website WordPress hoàn toàn sạch mã độc vẫn có thể bị tấn công nếu máy chủ dùng PHP chưa vá — đặc biệt nguy hiểm trên các máy chủ phục vụ nhiều request liên tục bằng PHP-FPM.
Vì sao nguy hiểm với website WordPress?
- Không cần xác thực, không cần thao tác của người dùng — chỉ cần gửi request phù hợp.
- Khai thác thành công cho phép kẻ tấn công chèn mã độc, tạo backdoor hoặc kiểm soát máy chủ.
- Vì dùng chung worker, lỗi có thể ảnh hưởng chéo giữa các request của nhiều người dùng trên cùng tiến trình.
Phiên bản bị ảnh hưởng & bản vá
- Bị ảnh hưởng: mọi phiên bản PHP trước
8.5.12,8.4.27,8.3.36,8.2.35; bao gồm cả các nhánh cũ đã hết hỗ trợ. - Đã vá: PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 (21/10/2026). Có bản vá mã nguồn cho 7.4, 8.0, 8.1.
Cách kiểm tra & khắc phục
- Kiểm tra phiên bản PHP của website (cPanel/DirectAdmin → Select PHP Version, hoặc
php -v). - Nếu thấp hơn bản vá tương ứng, cập nhật PHP ngay lên phiên bản đã vá của nhánh đang dùng.
- Với hosting dùng chung, yêu cầu nhà cung cấp xác nhận đã vá PHP toàn máy chủ.
- Bật WAF và theo dõi log trong thời gian chờ nâng cấp; sau khi vá, rà soát mã độc để chắc chắn website chưa bị xâm nhập.
Lưu ý: Cập nhật WordPress/plugin/theme không vá được lỗ hổng này. Vì CVE-2026-109618 và CVE-2026-109619 nằm ở lõi PHP, chỉ việc nâng cấp phiên bản PHP mới xử lý triệt để cả hai.
Đọc thêm bài về CVE-2026-109618 để nắm đầy đủ bộ đôi “PHP2Shell”.
Cần hỗ trợ nâng cấp PHP an toàn hoặc kiểm tra máy chủ sau sự cố? Liên hệ dịch vụ quản trị máy chủ & xử lý mã độc của chúng tôi.
