Cập nhật: 13:31 ngày 22/10/2026 (GMT+7)

Một cảnh báo bảo mật nghiêm trọng đang được cộng đồng quản trị website và hệ thống máy chủ đặc biệt quan tâm: PHP vừa phát hành bản cập nhật khẩn cấp để xử lý hai lỗ hổng có thể cho phép kẻ tấn công thực thi mã từ xa trên máy chủ mà không cần đăng nhập.

Hai lỗ hổng được định danh:

• CVE-2026-109618

• CVE-2026-109619

Cả hai đều được PHP đánh giá CVSS v4.0: 9.2/10 – mức Critical (Nghiêm trọng).

Đáng chú ý, các báo cáo bảo mật cho biết hoạt động khai thác đã xuất hiện sau khi thông tin về lỗ hổng được công bố. Cloudflare ghi nhận số lượng yêu cầu khai thác tăng rất nhanh sau khi thông tin được công khai.

Đây là lời nhắc quan trọng đối với mọi doanh nghiệp đang vận hành website: bảo mật website không chỉ phụ thuộc vào mật khẩu quản trị hay plugin, mà còn phụ thuộc trực tiếp vào nền tảng công nghệ và phiên bản phần mềm đang chạy trên máy chủ.

1. Hai lỗ hổng PHP lần này nguy hiểm như thế nào?

Theo thông báo chính thức của PHP, hai lỗ hổng đều có khả năng dẫn đến Remote Code Execution – RCE, tức kẻ tấn công có thể tìm cách khiến máy chủ thực thi mã do họ kiểm soát mà không cần tài khoản hợp lệ.

Đây là nhóm lỗ hổng đặc biệt nguy hiểm đối với website.

Nếu khai thác thành công, hậu quả có thể không chỉ dừng ở việc website bị lỗi.

Kẻ tấn công có thể tìm cách:

• Chiếm quyền kiểm soát ứng dụng web.

• Cài mã độc hoặc backdoor.

• Thay đổi nội dung website.

• Đánh cắp dữ liệu.

• Đánh cắp thông tin xác thực.

• Đánh cắp API Key, token hoặc thông tin kết nối.

• Sử dụng máy chủ làm bàn đạp tấn công hệ thống khác.

• Chèn mã độc vào website để phát tán cho khách truy cập.

• Gây gián đoạn dịch vụ.

Trong một số trường hợp, thông tin nằm trong bộ nhớ của tiến trình PHP còn có thể bao gồm dữ liệu nhạy cảm như mật khẩu, token xác thực hoặc API key.

Đây không phải là lỗi riêng của WordPress

Một điểm cần hiểu rõ:

Lỗ hổng lần này nằm trong chính PHP, tức runtime/ngôn ngữ thực thi, chứ không đơn thuần là lỗi của một plugin WordPress.

Vì vậy, phạm vi ảnh hưởng có thể liên quan đến nhiều loại website và hệ thống sử dụng PHP, bao gồm các website sử dụng:

• WordPress

• WooCommerce

• Magento

• Drupal

• Joomla

• Các website PHP tự phát triển

• Các hệ thống sử dụng PHP-FPM

• Apache + mod_php

• php-cgi

• FrankenPHP

• LiteSpeed

PHP chính thức cho biết các hệ thống PHP phục vụ request web đều cần được kiểm tra và cập nhật. Rủi ro được đánh giá cao nhất đối với một số cấu hình Apache sử dụng mod_php, nơi đã có khai thác được chứng minh có thể xảy ra trước cả khi application code được thực thi.

2. Lỗ hổng CVE-2026-109618 là gì?

CVE-2026-109618 liên quan đến cách PHP xử lý tình huống Out-of-Memory (OOM) – khi quá trình xử lý sử dụng vượt quá giới hạn bộ nhớ.

Trong một số điều kiện nhất định, khi lỗi thiếu bộ nhớ xảy ra giữa quá trình xử lý request, dữ liệu nội bộ của request có thể ở trạng thái chưa được khởi tạo hoàn chỉnh.

Sau đó, quá trình cleanup có thể xử lý trạng thái không hợp lệ này.

Kết quả là kẻ tấn công có thể tạo ra một chuỗi thao tác đặc biệt nhằm dẫn tới memory corruption và Remote Code Execution.

Đây là một dạng lỗi khá sâu bên trong cơ chế quản lý bộ nhớ của PHP và không phải loại lỗi mà người quản trị website có thể giải quyết đơn giản bằng cách đổi mật khẩu quản trị.

PHP đã phát hành bản sửa lỗi chính thức cho vấn đề này.

3. CVE-2026-109619 nguy hiểm ở điểm nào?

CVE-2026-109619 liên quan đến tình trạng stale global state / use-after-free, tức PHP có thể giữ lại các tham chiếu tới dữ liệu đã được giải phóng khỏi bộ nhớ.

Trong một số điều kiện, một request tiếp theo được xử lý bởi cùng worker có thể truy cập vào trạng thái bộ nhớ không còn hợp lệ.

Đây là một dạng lỗi Use-After-Free, một nhóm lỗi bộ nhớ có thể dẫn tới việc thực thi mã trái phép.

Các nhà nghiên cứu đã chứng minh được khả năng khai thác dẫn đến Remote Code Execution trong những điều kiện phù hợp.

4. Những phiên bản PHP nào cần đặc biệt lưu ý?

PHP đã phát hành các phiên bản bảo mật mới:

PHP khuyến cáo người dùng nâng cấp ngay lên phiên bản tương ứng.

Đặc biệt:

PHP 8.1 và cũ hơn

PHP 8.1 trở về trước đã nằm ngoài vòng đời hỗ trợ chính thức của PHP.

Một số bản phân phối Linux hoặc nhà cung cấp LTS có thể cung cấp bản vá backport, nhưng người quản trị cần kiểm tra trực tiếp với nhà cung cấp hệ điều hành hoặc đơn vị quản trị máy chủ.

PHP cũng đưa ra một số biện pháp giảm thiểu rủi ro trong trường hợp chưa thể cập nhật ngay, tuy nhiên PHP nhấn mạnh rằng cập nhật phiên bản là giải pháp an toàn đầy đủ.

5. Website của tôi có đang sử dụng PHP không?

Đây là câu hỏi mà rất nhiều chủ doanh nghiệp có thể không biết câu trả lời.

Nếu website của bạn sử dụng:

WordPress → Có PHP

WooCommerce → Có PHP

Laravel → Có PHP

Drupal → Có PHP

Joomla → Có PHP

Magento → Có PHP

hoặc website được lập trình bằng PHP → Có PHP

Tuy nhiên, việc website sử dụng PHP không có nghĩa website chắc chắn đã bị hack.

Điều cần xác định là:

Website đang sử dụng phiên bản PHP nào và phiên bản đó đã được cập nhật bản vá bảo mật hay chưa?

6. Người quản trị website cần làm gì ngay?

Nếu bạn đang vận hành website PHP, hãy thực hiện lần lượt các bước sau.

Bước 1: Kiểm tra phiên bản PHP

Có thể kiểm tra thông qua:

• Control Panel hosting.

• DirectAdmin.

• cPanel.

• Plesk.

• SSH.

• Server Management.

• Nhà cung cấp hosting.

Nếu đang sử dụng máy chủ riêng, có thể kiểm tra phiên bản PHP đang chạy trên từng PHP-FPM pool hoặc runtime tương ứng.

Không nên chỉ kiểm tra phiên bản PHP được cài trên server.

Cần xác định chính xác phiên bản PHP mà website thực tế đang sử dụng.

Bước 2: Cập nhật PHP lên phiên bản đã được vá

Nếu đang chạy:

• PHP 8.5 → cập nhật lên 8.5.12

• PHP 8.4 → cập nhật lên 8.4.27

• PHP 8.3 → cập nhật lên 8.3.36

• PHP 8.2 → cập nhật lên 8.2.35

Đây là phương án được PHP khuyến nghị.

Không nên chỉ chỉnh sửa một vài thông số php.ini rồi cho rằng website đã an toàn.

PHP xác nhận rằng các biện pháp giảm thiểu chỉ giúp giảm một số đường khai thác cụ thể; cập nhật bản vá vẫn là giải pháp hoàn chỉnh.

7. Nếu chưa thể cập nhật PHP ngay thì sao?

Trong trường hợp hệ thống đang phụ thuộc vào phiên bản PHP cũ, việc nâng cấp có thể gây lỗi tương thích với:

• Website.

• Theme.

• Plugin.

• Module.

• Framework.

• Code tự phát triển.

• Thư viện bên thứ ba.

Khi đó, doanh nghiệp không nên bỏ mặc hệ thống.

Có thể áp dụng các biện pháp giảm thiểu theo khuyến cáo của PHP, đồng thời:

1. Hạn chế các request không cần thiết.

2. Kiểm soát kích thước request/upload.

3. Rà soát cấu hình PHP-FPM.

4. Kiểm tra session.upload_progress.

5. Kiểm tra log máy chủ.

6. Kiểm tra các request bất thường.

7. Giám sát CPU, RAM và tiến trình PHP.

8. Kiểm tra các file mới được tạo hoặc thay đổi.

9. Sao lưu dữ liệu.

10. Lên kế hoạch nâng cấp PHP càng sớm càng tốt.

Trong trường hợp không thể vá ngay, CERT-EU khuyến nghị cân nhắc cô lập các ứng dụng PHP hướng Internet cho đến khi có thể triển khai bản sửa lỗi.

8. Nếu website có dấu hiệu bị tấn công thì phải làm gì?

Đây là tình huống nghiêm trọng hơn việc đơn giản cập nhật PHP.

Nếu phát hiện:

• Website tự động chuyển hướng sang website lạ.

• Xuất hiện trang hoặc file không rõ nguồn gốc.

• Có tài khoản quản trị mới.

• Mật khẩu bị thay đổi.

• Website gửi email bất thường.

• CPU/RAM tăng cao bất thường.

• Xuất hiện tiến trình lạ.

• File PHP mới xuất hiện.

• Google cảnh báo website chứa mã độc.

• Website bị chèn quảng cáo hoặc nội dung lạ.

• Có các request đáng ngờ trong log.

Không nên chỉ xóa file lạ rồi tiếp tục vận hành.

Cần thực hiện quy trình xử lý sự cố:

1. Cô lập hệ thống nếu cần thiết

Hạn chế khả năng tiếp tục khai thác.

2. Sao lưu bằng chứng

Giữ lại:

• Access log.

• Error log.

• PHP-FPM log.

• Web server log.

• File khả nghi.

• Database.

• Thông tin thời gian xảy ra sự cố.

3. Kiểm tra toàn bộ website

Không chỉ kiểm tra trang chủ.

4. Thay đổi các thông tin xác thực

Sau khi hệ thống được làm sạch, cần cân nhắc thay đổi:

• Mật khẩu quản trị website.

• Mật khẩu hosting.

• SSH.

• Database.

• API Key.

• SMTP.

• FTP/SFTP.

• Các token tích hợp.

5. Khôi phục từ bản backup sạch nếu cần

Trong một số trường hợp, đây là phương án an toàn hơn việc cố gắng tìm từng backdoor.

9. Điều đáng lo hơn: Tấn công có thể diễn ra trước khi bạn biết website bị lỗi

Một website bị hack không nhất thiết phải xuất hiện ngay một thông báo:

"Website của bạn đã bị tấn công."

Kẻ tấn công có thể âm thầm:

• Cài backdoor.

• Tạo tài khoản.

• Đánh cắp thông tin.

• Chèn mã theo điều kiện.

• Thu thập dữ liệu.

• Sử dụng server để tấn công hệ thống khác.

Vì vậy, website vẫn hoạt động bình thường không đồng nghĩa với việc hệ thống chắc chắn an toàn.

Đặc biệt sau khi một lỗ hổng nghiêm trọng được công khai, tốc độ quét và thử khai thác trên Internet có thể tăng rất nhanh.

Reuters dẫn thông tin từ Cloudflare cho biết số lượng nỗ lực khai thác các lỗ hổng PHP đã tăng từ hàng nghìn lên hàng chục nghìn, sau đó lên hàng trăm nghìn và hàng triệu lượt sau khi thông tin được công khai.

10. Đây có phải là lý do để "bỏ PHP"?

Không nên hiểu vấn đề theo cách đó.

PHP là một nền tảng web phổ biến và có hệ sinh thái rất lớn.

Lỗ hổng bảo mật có thể xuất hiện trong bất kỳ nền tảng phần mềm nào, bao gồm PHP, .NET, Java, Node.js, Python hoặc các framework và thư viện bên thứ ba.

Vì vậy, không thể nói:

"PHP không an toàn."

hay:

".NET không bao giờ có lỗ hổng."

Đó đều là những kết luận không chính xác về mặt kỹ thuật.

Điều quan trọng hơn là:

Nền tảng có được duy trì, cập nhật bảo mật và thiết kế theo các nguyên tắc Secure by Design hay không?

Và đây cũng là một trong những lý do IT EXPRESS lựa chọn Microsoft .NET / ASP.NET Core làm nền tảng phát triển các hệ thống website hiện đại.

11. Vì sao IT EXPRESS lựa chọn .NET / ASP.NET Core?

ASP.NET Core là nền tảng web hiện đại thuộc hệ sinh thái .NET của Microsoft.

Microsoft xây dựng ASP.NET Core với trọng tâm về bảo mật và cung cấp sẵn nhiều cơ chế bảo vệ ở cấp framework như:

• Authentication.

• Authorization.

• Data Protection.

• HTTPS.

• CSRF/XSRF protection.

• CORS.

• Các cơ chế hỗ trợ chống XSS.

• Quản lý secret.

• Identity và các cơ chế xác thực.

Điều này mang lại một lợi thế quan trọng:

Nhà phát triển không phải tự xây dựng mọi cơ chế bảo mật từ đầu.

Framework đã cung cấp nhiều thành phần bảo mật được chuẩn hóa để đội ngũ phát triển cấu hình và sử dụng đúng cách.

ASP.NET Core cũng có hệ thống Data Protection tích hợp cho việc bảo vệ dữ liệu nhạy cảm, quản lý khóa và xoay vòng khóa trong các kịch bản phù hợp.

12. Một điểm rất quan trọng: .NET có vòng đời hỗ trợ rõ ràng

Đối với doanh nghiệp, việc một nền tảng có vòng đời hỗ trợ rõ ràng rất quan trọng.

Tại thời điểm bài viết này được cập nhật:

.NET 10 là phiên bản LTS

Theo chính sách hỗ trợ chính thức của Microsoft:

.NET 10

• Phát hành: 11/11/2025

• Loại: LTS – Long Term Support

• Bản cập nhật mới nhất được công bố: 10.0.13

• Ngày cập nhật: 13/10/2026

• Hết hỗ trợ: 14/11/2028

Microsoft phát hành các bản cập nhật .NET định kỳ, bao gồm các bản sửa lỗi bảo mật trong vòng đời hỗ trợ.

Đây là điểm đặc biệt quan trọng đối với website doanh nghiệp.

Một website không chỉ cần:

"Chạy được hôm nay."

Mà cần:

Có khả năng được duy trì, cập nhật và bảo vệ trong nhiều năm tiếp theo.

13. .NET có phải hoàn toàn không có lỗ hổng?

Không.

Đây là điều cần nói rõ.

.NET và ASP.NET Core cũng có thể xuất hiện lỗ hổng bảo mật.

Không có nền tảng phần mềm nào có thể cam kết:

"Không bao giờ có lỗ hổng."

Điểm khác biệt nằm ở cách nền tảng được duy trì.

Với hệ sinh thái .NET, Microsoft duy trì chu kỳ phát hành, cập nhật và hỗ trợ chính thức; các phiên bản được hỗ trợ tiếp tục nhận các bản vá bảo mật trong thời gian vòng đời.

Do đó, khi xây dựng website bằng ASP.NET Core, IT EXPRESS có thể chủ động:

Theo dõi → cập nhật → kiểm thử → triển khai bản vá

thay vì để website chạy trên một nền tảng đã hết vòng đời trong nhiều năm.

14. Bảo mật website không chỉ nằm ở ngôn ngữ lập trình

Một website an toàn cần nhiều lớp bảo vệ.

Tại IT EXPRESS, chúng tôi quan niệm bảo mật website cần được xem xét từ nhiều lớp:

🔐 Lớp 1 – Nền tảng

Sử dụng nền tảng còn được hỗ trợ và cập nhật bảo mật.

🔐 Lớp 2 – Framework

Sử dụng ASP.NET Core và các thư viện có nguồn gốc, phiên bản rõ ràng.

🔐 Lớp 3 – Application

Thiết kế authentication, authorization, validation và xử lý dữ liệu đúng chuẩn.

🔐 Lớp 4 – Server

Cấu hình IIS, Windows Server, firewall, HTTPS và quyền truy cập phù hợp.

🔐 Lớp 5 – Database

Phân quyền tài khoản database và bảo vệ thông tin kết nối.

🔐 Lớp 6 – Backup

Có phương án sao lưu và phục hồi khi xảy ra sự cố.

🔐 Lớp 7 – Monitoring

Theo dõi log và các hoạt động bất thường.

Bảo mật không phải là một tính năng.

Đó là một quy trình xuyên suốt vòng đời của website.

15. Website doanh nghiệp có nên tiếp tục sử dụng công nghệ cũ?

Nếu website của doanh nghiệp đã được xây dựng từ nhiều năm trước, đây là thời điểm thích hợp để kiểm tra lại toàn bộ hệ thống.

Hãy đặt những câu hỏi:

• Website đang chạy PHP phiên bản nào?

• Framework còn được hỗ trợ không?

• Plugin/theme còn được cập nhật không?

• Máy chủ đang chạy hệ điều hành nào?

• SSL/TLS đã được cấu hình đúng chưa?

• Website có backup không?

• Backup có thể restore được không?

• Có hệ thống giám sát không?

• Mật khẩu quản trị có đang được bảo vệ tốt không?

• Có tài khoản cũ không còn sử dụng không?

• Code có thư viện đã lỗi thời không?

Nếu câu trả lời cho nhiều câu hỏi là "Không biết", đó chính là một dấu hiệu cần kiểm tra.

16. IT EXPRESS lựa chọn .NET 10 cho website thế hệ mới

Thay vì chỉ tập trung vào một giao diện đẹp, website hiện đại cần được xây dựng trên một nền tảng có khả năng đáp ứng đồng thời nhiều yêu cầu:

⚡ Tốc độ

🔎 SEO

🛡️ Bảo mật

📱 Responsive

⚙️ Dễ quản trị

🚀 Khả năng mở rộng

🔄 Dễ dàng cập nhật

Với các dự án website mới, IT EXPRESS định hướng sử dụng Microsoft .NET / ASP.NET Core, hiện tại ưu tiên .NET 10 LTS cho các hệ thống phù hợp.

ASP.NET Core được Microsoft định hướng là một nền tảng web có hiệu năng cao, cloud-ready và được thiết kế với các tính năng bảo mật tích hợp.

17. Đừng chờ website bị hack mới quan tâm đến bảo mật

Một website doanh nghiệp có thể là:

• Bộ mặt của công ty.

• Kênh bán hàng.

• Nguồn khách hàng.

• Nơi thu thập thông tin khách hàng.

• Kênh marketing.

• Hệ thống quản lý nội bộ.

• Tài sản thương hiệu.

Vì vậy, chi phí của một sự cố bảo mật không chỉ là:

"Website bị lỗi."

Mà có thể bao gồm:

Mất dữ liệu + mất khách hàng + mất uy tín + gián đoạn kinh doanh + chi phí khắc phục.

Và trong nhiều trường hợp, chi phí phòng ngừa thấp hơn rất nhiều so với chi phí xử lý sau khi bị tấn công.

18. Kết luận

Hai lỗ hổng CVE-2026-109618 và CVE-2026-109619 là một lời nhắc rất rõ ràng cho các doanh nghiệp đang vận hành website:

Website không thể chỉ "chạy được". Website phải được duy trì và cập nhật liên tục.

Nếu đang sử dụng PHP, hãy kiểm tra phiên bản PHP ngay hôm nay và cập nhật lên phiên bản đã được vá.

Nếu website đang sử dụng nền tảng quá cũ, không còn được hỗ trợ hoặc doanh nghiệp không biết chính xác hệ thống đang chạy phiên bản nào, hãy tiến hành kiểm tra tổng thể.

Với các website mới, doanh nghiệp nên cân nhắc những nền tảng có:

Vòng đời hỗ trợ rõ ràng + cơ chế bảo mật tích hợp + khả năng cập nhật lâu dài + đội ngũ phát triển có năng lực bảo trì.

Đó cũng là lý do IT EXPRESS lựa chọn Microsoft .NET / ASP.NET Core cho các dự án website hiện đại.

Một website tốt không chỉ đẹp.

Một website tốt phải nhanh – an toàn – dễ quản trị – tối ưu SEO và có khả năng phát triển lâu dài cùng doanh nghiệp.

IT EXPRESS – Thiết kế website chuyên nghiệp trên nền tảng Microsoft .NET

Bạn đang sử dụng website PHP/WordPress cũ và muốn kiểm tra:

🔎 Phiên bản PHP và mức độ an toàn
🛡️ Các nguy cơ bảo mật hiện tại
⚡ Tốc độ website
📈 Khả năng SEO
🔄 Khả năng nâng cấp
🚀 Phương án xây dựng lại website trên nền tảng .NET

IT EXPRESS sẵn sàng tư vấn và kiểm tra định hướng nâng cấp cho doanh nghiệp.

📞 Hotline: 0988 337 505
💬 Zalo: 0888 724 024
🌐 Website: itexpress.vn
📧 Email: web@itexpress.vn

IT EXPRESS – Nâng tầm thương hiệu, bứt phá doanh thu!

Nguồn tham khảo

• PHP Security Advisory – thông báo chính thức về CVE-2026-109618 và CVE-2026-109619.

• ENISA – Joint Statement on Critical PHP Vulnerabilities.

• CERT-EU – Security Advisory 2026-018.

• Microsoft Learn – ASP.NET Core Security.

• Microsoft .NET – Official Support Policy.