PHP báo trước hai lỗ hổng nghiêm trọng: website cần sẵn sàng cho bản vá tối 21/10

Thông báo khẩn dành cho các website đang dùng PHP

Nhóm bảo mật PHP công bố ngày 20/10/2026 rằng bản phát hành bảo mật sắp tới xử lý hai lỗ hổng nghiêm trọng, cùng điểm CVSS v4.0 9.2. Lịch dự kiến là 14:00 UTC ngày 21/10, tương đương 21:00 tại Việt Nam. Chủ website WordPress và các ứng dụng viết bằng PHP nên giao người phụ trách cập nhật ngay từ bây giờ, thay vì đến tối mới tìm xem máy chủ đang dùng bản nào.

Tại lần kiểm tra nguồn sáng 21/10, thông báo của PHP chưa công bố chi tiết, phiên bản bị ảnh hưởng và số phiên bản đã sửa. Bài này đưa tin một thông báo trước có ngày xác minh được, không khẳng định bản vá đã sẵn để cài. Nhà cung cấp có thể phát hành sớm nếu chi tiết lỗi bị công khai hoặc xuất hiện bằng chứng khai thác.

Điều đã biết và điều chưa thể kết luận

Điểm 9.2 cho thấy mức độ ưu tiên cao, nhưng bản thông báo trước chưa đủ để kết luận cơ chế tấn công, cấu hình nào dễ bị ảnh hưởng nhất hoặc một website cụ thể đã bị xâm nhập. Điều khoản “có thể phát hành sớm nếu có khai thác” cũng không phải xác nhận đang có tấn công ngoài thực tế.

CERT-EU đã phát hành cảnh báo 2026-018, đồng thời dẫn thông tin rò rỉ bên ngoài cho một số nhận định về mã CVE và phạm vi phiên bản. Friday Works lấy thông báo PHP làm chuẩn cho phần phiên bản: chưa ghi một dải ảnh hưởng hoặc mã bản vá chưa được chính nhóm PHP xác nhận. Khi có đầy đủ advisory, đội vận hành cần đối chiếu lại thay vì giữ giả định ban đầu.

Các bản phát hành cũ vẫn xuất hiện trên trang tải và PHP 8.6.0 RC3 được giới thiệu để thử nghiệm ngày 08/10. Sự hiện diện trên trang chính không chứng minh chúng là bản sửa của đợt tối 21/10. PHP còn ghi rõ không dùng bản RC đó cho production.

Chuẩn bị đúng lớp runtime của website

Friday Works đề nghị lập danh sách website, phiên bản PHP đang phục vụ từng tên miền và đơn vị quản lý: hosting, máy ảo, container hay nền tảng được quản trị sẵn. Một máy có thể dùng PHP khác nhau cho dòng lệnh, website và tác vụ định kỳ. Chỉ đọc phiên bản ở terminal có thể bỏ sót runtime mà người truy cập thực sự đang dùng.

Với hosting, hỏi nhà cung cấp cách nhận bản cập nhật, lịch áp dụng và bằng chứng phiên bản sau thay đổi. Với hệ thống tự quản lý, chuẩn bị bản sao lưu có thể khôi phục, cấu hình hiện tại và môi trường thử tương ứng. Không cần thay đổi kiến trúc website hoặc cài plugin “vá PHP” không rõ nguồn chỉ vì thông báo đang khẩn.

Ảnh trong bài là phần Core của phpinfo thật, chụp trên môi trường cục bộ cô lập ngày 21/10 với PHP 8.5.7. Nó cho thấy một vị trí đọc phiên bản, không phải bản sửa được hẹn tối nay. Không công khai trang phpinfo của website production: trang này có thể tiết lộ thêm cấu hình và thông tin môi trường.

Sau khi bản sửa được công bố, cần nghiệm thu gì?

Khi advisory và gói chính thức xuất hiện, đối chiếu nhánh đang chạy với danh sách affected/fixed, rồi thử nâng cấp đúng đường hỗ trợ của nhà cung cấp. Friday Works khuyến nghị kiểm tra đăng nhập, biểu mẫu, đặt hàng mẫu không thu tiền và tác vụ nền có PHP trước khi áp dụng rộng. Đây là bước giảm rủi ro vận hành, không phải mô tả khai thác lỗ hổng.

Sau cập nhật, xác nhận tiến trình web thực sự chạy bản đã sửa, quan sát lỗi ứng dụng và kiểm tra lại các tác vụ quan trọng. Nếu gói hệ điều hành dùng backport, cần đối chiếu advisory của nhà phân phối thay vì chỉ so số phiên bản upstream. Giữ bằng chứng thời điểm và kết quả kiểm tra để biết website nào đã xử lý xong.

Bản tin sáng nay chưa thể đưa lệnh cập nhật hoặc bản fixed cụ thể khi thông tin đó chưa được công bố. Người phụ trách cần theo dõi đúng thông báo PHP liên kết bên dưới; thời gian 21:00 là lịch dự kiến, không phải bảo đảm website tự được vá lúc đó.