2 lỗ hổng PHP cho phép chiếm máy chủ không cần xác thực, Tencent Cloud khuyến cáo kiểm tra

Hai lỗ hổng PHP có thể bị khai thác để chiếm toàn quyền máy chủ từ xa mà không cần xác thực đã được công bố, khiến Tencent Cloud phải khuyến nghị người dùng tự kiểm tra và cập nhật hệ thống.

Trung tâm an ninh của Tencent Cloud cho biết trong cảnh báo rủi ro ngày 21 rằng đã phát hiện một lỗ hổng thực thi mã từ xa (RCE) trong PHP. Hai lỗ hổng này được định danh CVE-2026-109618 và CVE-2026-109619, có tên gọi 'php2shell'. Theo trung tâm này, kẻ tấn công từ xa không cần xác thực chỉ cần gửi một yêu cầu 'multipart POST' được tạo đặc biệt là có thể gây lỗi hỏng bộ nhớ, từ đó dẫn đến thực thi mã từ xa và chiếm toàn quyền máy chủ.

Multipart POST là định dạng dữ liệu thường dùng khi tải file lên hoặc gửi biểu mẫu tới máy chủ web. Điều này có nghĩa loại yêu cầu mà các dịch vụ web vẫn tiếp nhận hàng ngày cũng có thể trở thành đường tấn công. Trung tâm an ninh khuyến nghị người dùng nhanh chóng tự kiểm tra hệ thống để không ảnh hưởng đến hoạt động, và nếu nằm trong phạm vi bị ảnh hưởng thì cập nhật, vá lỗi ngay để ngăn kẻ tấn công bên ngoài xâm nhập.

Thông báo của Tencent Cloud được đưa ra cùng ngày với bản vá mà nhóm phát triển PHP công bố. Nhóm phát triển PHP phát hành bản vá an ninh ngày 21 (giờ địa phương) để khắc phục 2 lỗ hổng nghiêm trọng với mức độ rủi ro 9,2/10 điểm. Trước đó một ngày, vào ngày 20, nhóm này đã công bố mức độ nghiêm trọng qua một khuyến cáo an ninh riêng. Về bản vá mà nhóm phát triển PHP công bố, các cơ quan an ninh của châu Âu và Anh đã khuyến nghị ngắt kết nối khỏi mạng công cộng hoặc tạm ngừng hoạt động đối với những máy chủ chưa thể áp dụng bản vá ngay.

Phạm vi ảnh hưởng được đánh giá là rất rộng. Công ty an ninh watchTowr cho biết tất cả phiên bản PHP từ PHP 5 trở đi đều có thể bị ảnh hưởng. Wordfence, hãng phát triển plugin bảo mật cho WordPress, cảnh báo mọi trang WordPress chạy trên máy chủ PHP đều dễ bị tấn công. Bloomberg đưa tin lỗ hổng rủi ro cao này đã bị hacker khai thác trước khi được công bố, và hơn 22,6 triệu máy chủ (instance) trên toàn cầu đang bị phơi nhiễm.

Thực thi mã từ xa (RCE) là dạng tấn công cho phép kẻ xấu chạy mã bất kỳ trên máy chủ từ bên ngoài, có thể dẫn đến việc trang web bị chỉnh sửa trái phép hoặc dữ liệu bị rò rỉ. Điểm đáng chú ý là lỗi nằm ngay trong chính PHP, nên đối tượng bị tấn công là máy chủ vận hành dịch vụ, chứ không phải thiết bị của từng người dùng.

Các nhà cung cấp dịch vụ cloud cũng đã có động thái. Google(GOOGL) cho biết ngày 21 rằng đang cập nhật và triển khai lại các image serverless cho tất cả phiên bản PHP được Google Cloud hỗ trợ. Google giải thích bản thân hạ tầng cloud không có lỗ hổng, nhưng người dùng chạy PHP trên cloud vẫn có thể gặp rủi ro. Google khuyến nghị người dùng nâng cấp lên PHP 8.2 trở lên và triển khai lại dịch vụ bằng phiên bản đã được vá.

OpenAI đánh giá đây là một trong những sự cố an ninh nghiêm trọng nhất gần đây, do mức độ ảnh hưởng lớn và PHP được sử dụng rộng rãi. OpenAI cho biết sẽ đầu tư 1 tỷ USD để hỗ trợ nhân lực phòng thủ an ninh mạng, và cho biết mô hình AI tiên tiến (frontier AI) của công ty đã phát hiện lỗ hổng này trước cả kẻ tấn công.

Nhiều dịch vụ web trong ngành tài sản số như sàn giao dịch, ví điện tử, trang dữ liệu đều phụ thuộc vào công nghệ phía máy chủ. Các đơn vị vận hành dịch vụ bằng PHP cũng có thể thuộc diện cần kiểm tra. Thông báo của Tencent Cloud không đề cập đến dịch vụ tài sản số cụ thể nào.

Người vận hành hệ thống cần kiểm tra phiên bản PHP đang sử dụng, cập nhật lên phiên bản đã vá rồi triển khai lại dịch vụ. Với những máy chủ chưa thể áp dụng bản vá ngay, phương án được đề xuất là ngắt kết nối khỏi mạng công cộng, như khuyến nghị của các cơ quan an ninh châu Âu và Anh.