PHP vá hai lỗ hổng thực thi mã từ xa nghiêm trọng

PHP phát hành bản vá hai lỗ hổng nghiêm trọng có thể cho phép thực thi mã từ xa mà không cần đăng nhập. Cảnh báo ngày 21/10 yêu cầu nâng cấp ngay, không coi các biện pháp giảm thiểu tạm thời là thay thế hoàn chỉnh.

Bốn nhánh PHP đã có bản vá

Các phiên bản khắc phục là PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Hai lỗ hổng mang mã CVE-2026-109618 và CVE-2026-109619.

Nhóm PHP xác định phạm vi rủi ro gồm các hệ thống PHP phục vụ yêu cầu web. Danh sách có PHP-FPM, Apache dùng mod_php, php-cgi, FrankenPHP và LiteSpeed.

Nhóm đánh giá mod_php có rủi ro cao nhất. Một cách khai thác đã được chứng minh có thể kích hoạt trước khi mã ứng dụng chạy. Vì vậy, chỉ cập nhật ứng dụng chưa đủ để thay bản vá PHP.

Cấu hình tạm thời không thay thế bản vá

Hướng dẫn chính thức nêu chỉ cập nhật mới là giải pháp hoàn chỉnh. Các điều chỉnh cấu hình tạm thời chỉ giảm một số đường tấn công, không làm hệ thống hết nguy cơ.

Quản trị viên cần kiểm tra gói cập nhật từ nhà phân phối hoặc nhà cung cấp hỗ trợ dài hạn. PHP 8.1 và các nhánh cũ hơn không còn nhận bản cập nhật chính thức từ dự án PHP.

Một số nhà cung cấp có bản vá đưa ngược về nhánh cũ. Nhóm PHP cũng công bố bản vá mã nguồn tối thiểu cho 7.4, 8.0 và 8.1, không biến chúng thành nhánh được hỗ trợ trở lại.

Bản vá cho thấy điểm yếu trong quy trình

PHP Foundation cho biết dấu hiệu đầu tiên của lỗi xử lý thiếu bộ nhớ đã được tìm thấy năm 2024. Nhóm gặp khó khi chọn phương án sửa vì đánh đổi tương thích, hiệu năng và hệ sinh thái phần mở rộng.

Tổ chức thừa nhận chậm trễ là thất bại về quy trình và nguồn lực. Nhóm bảo mật đang thay đổi cách ra quyết định để có thể thông qua phương án theo đa số, thay vì phụ thuộc đồng thuận.

Đối với chủ website, việc đã có bản vá không chứng minh máy chủ của mình đã được cập nhật. Bài viết này không xác nhận một website cụ thể bị xâm nhập hoặc đã an toàn sau sự cố.

Bài viết chỉ nhằm cung cấp thông tin, không phải lời khuyên đầu tư.