Mục lụcChạm để xem nhanh các phần＋
- Bản vá đã có từ 21/10, khác thông báo chuẩn bị trước đó; kiểm tra đúng PHP đang phục vụ website.
- PHP xác nhận khai thác thử thành công trên mod_php; điều đó không tự xác nhận có tấn công ngoài thực tế.
- Cập nhật đúng nhánh, thay hoặc khởi động lại worker, kiểm tra cả bản vá lẫn giao dịch nghiệp vụ.
Từ cảnh báo chuẩn bị sang bản vá đã có
PHP công bố ngày 21/10/2026 đã vá hai lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619 trong PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Doanh nghiệp có website hoặc ứng dụng chạy PHP cần ưu tiên cập nhật runtime web, kể cả khi WordPress, plugin và mã ứng dụng đã ở bản mới. Đây là diễn biến phát hành thực tế sau thông báo chuẩn bị ngày 20/10.
RCE nghĩa là kẻ tấn công có thể khiến máy chủ chạy mã do họ kiểm soát từ xa. PHP xác định phạm vi cần xử lý gồm các triển khai phục vụ yêu cầu web như PHP-FPM, Apache mod_php, php-cgi, FrankenPHP và LiteSpeed. Mức độ tin cậy của đường khai thác khác nhau theo môi trường; không nên diễn giải rằng mọi cấu hình có cách khai thác giống hệt nhau.
Nhóm PHP đánh giá rủi ro cao nhất với mod_php và xác nhận một khai thác không cần đăng nhập có thể xảy ra trước khi mã ứng dụng chạy. Nguồn được kiểm tra không xác nhận một chiến dịch đang khai thác ngoài thực tế hoặc số nạn nhân. Cần vá khẩn vì hậu quả và khả năng đã chứng minh, không cần thổi phồng thành vụ xâm nhập đã xảy ra với mọi website.
Hai lỗi nằm ở vòng đời bộ nhớ của PHP
CVE-2026-109618 liên quan xử lý hết bộ nhớ: PHP có thể rời một thao tác khi dữ liệu nội bộ chưa khởi tạo xong, rồi dùng dữ liệu không hợp lệ khi kết thúc request. Advisory xác nhận khai thác đầy đủ trên mod_php; với FPM, phân tích nguồn cho thấy có nguy cơ nhưng chưa chứng minh một khai thác hoàn chỉnh cho đường này. Sự khác nhau đó không phải lý do bỏ cập nhật FPM.
CVE-2026-109619 liên quan trạng thái mà worker giữ lại sau khi bộ nhớ của request trước đã được giải phóng. Request sau trên cùng worker có thể chạm trạng thái cũ trước bước khởi tạo thông thường. Tác động và điều kiện phụ thuộc cấu hình, đường xử lý lỗi và extension; bản tin không cung cấp cách tạo yêu cầu tấn công.
Friday Works khuyến nghị kiểm kê theo website, pool PHP và container đang chạy thay vì chỉ hỏi phiên bản cài trên máy. Một VPS có thể đồng thời chứa nhiều nhánh PHP; cập nhật gói mặc định không chứng minh mọi website đã đổi runtime. Nhà cung cấp hosting cần xác nhận dịch vụ nào đã được thay worker và bản vá nào áp dụng.
Bản vá là giải pháp đầy đủ; giảm thiểu chỉ mua thêm thời gian
Các nhánh được hỗ trợ cần đạt ít nhất bản vá tương ứng: 8.2.35, 8.3.36, 8.4.27 hoặc 8.5.12. Bản vá backport từ hệ điều hành có thể giữ số upstream cũ; khi đó phải đối chiếu advisory và mã gói của nhà cung cấp, không kết luận chỉ từ một chuỗi phiên bản. PHP 8.1 trở xuống đã hết hỗ trợ trực tiếp; bản backport tối thiểu được công bố không khôi phục toàn bộ vòng đời hỗ trợ.
PHP có hướng dẫn giảm thiểu từng đường lỗi khi chưa thể cập nhật, nhưng nhấn mạnh không cấu hình nào thay thế được bản vá. Một số biện pháp đòi hỏi đổi giới hạn bộ nhớ hoặc tắt chức năng trước khi parse request và khởi động lại mọi worker. Không sao chép một dòng cấu hình sang production mà chưa đánh giá nguy cơ cạn tài nguyên và phạm vi các pool.
Friday Works đề nghị người quản trị đọc đầy đủ hai advisory, xác định cửa sổ cập nhật ngắn nhất và giới hạn tiếp xúc tạm thời nếu cần. Đổi display_errors hoặc có CDN/WAF không chứng minh đã sửa runtime. Nếu nhà cung cấp chưa có gói, cần yêu cầu thời điểm xử lý cụ thể thay vì nhận câu trả lời chung “website vẫn hoạt động”.
Xác nhận sau cập nhật bằng runtime và giao dịch thật
Friday Works khuyến nghị sao lưu cấu hình và dữ liệu cần phục hồi, cập nhật từ nguồn tin cậy, rồi xác nhận worker web thực tế đã chạy gói sửa lỗi. Lệnh php -v chỉ phản ánh CLI được gọi; cần đối chiếu thêm runtime của từng website bằng công cụ quản trị nội bộ có kiểm soát. Không để trang phpinfo công khai sau kiểm tra vì nó có thể lộ cấu hình.
Sau khi thay worker, thử đăng nhập, biểu mẫu, tải tệp và một giao dịch mẫu trên tài sản được phép; đồng thời xem lỗi và các tác vụ nền liên quan. Một website trả 200 chưa đủ chứng minh thanh toán hoặc gửi yêu cầu đã hoạt động đúng. Ghi thời điểm, gói đã vá, website đã kiểm tra và người nghiệm thu để tránh bỏ sót một pool cũ.
Bìa là phpinfo Core thật trên PHP 8.5.7 ở môi trường demo cô lập, Friday Works chụp ngày 21/10; ảnh giúp nhận ra vị trí kiểm tra phiên bản, không phải bằng chứng đã cài bản vá. PHP License 3.01 và nguồn được ghi bên dưới; không sửa số phiên bản trong ảnh để tạo cảm giác hệ thống đã an toàn.
Nguồn tham khảo
Tài liệu đã dùng để biên soạn
Ưu tiên tài liệu chính thức và nguồn kỹ thuật gốc. Truy cập để kiểm tra chi tiết hoặc theo dõi cập nhật mới nhất.
- PHP critical security advisory and releases —21 October 2026PHP Group ↗︎
- CVE-2026-109618: affected versions, confirmed mod_php exploit and partial mitigations —21 October 2026PHP security team ↗︎
- CVE-2026-109619: stale state, affected versions and mitigations —21 October 2026PHP security team ↗︎
- Original phpinfo Core capture by Friday Works, 21 October 2026, PHP 8.5.7; archival unpatched demo, not verification of applying fixesFriday Works / PHP Group ↗︎
- PHP License 3.01PHP Group ↗︎