⚠️ Cảnh báo khẩn: PHP dính 2 lỗ hổng RCE CVSS 9.2 — bản vá ra 21:00 tối nay 21/10, PHP 8.1 trở xuống không được vá

Nếu website của bạn chạy bằng WordPress thì gần như chắc chắn nó đang chạy trên PHP — và hôm nay là ngày bạn cần đặc biệt chú ý. Ngày 20/10/2026, đội ngũ PHP đã đăng thông báo chính thức hiếm hoi trên php.net với tiêu đề “Upcoming Critical PHP Security Release”, cảnh báo về 2 lỗ hổng bảo mật nghiêm trọng kèm bản vá khẩn cấp sắp phát hành. Đáng lo hơn, thông tin về 2 lỗ hổng này đã bị rò rỉ trước thời điểm công bố chính thức.

Mục chính của bài

Chuyện gì đang xảy ra?

Theo thông báo của đội ngũ PHP, có 2 lỗ hổng bảo mật nghiêm trọng, mỗi lỗ hổng được chấm điểm CVSS v4.0 ở mức 9.2/10 — thuộc nhóm nghiêm trọng nhất (critical). Hai lỗ hổng được gắn mã định danh là CVE-2026-109618 và CVE-2026-109619. Hai mã CVE này hiện ở trạng thái RESERVED trên cve.org (đã đăng ký, chờ công bố); chi tiết kỹ thuật chỉ được PHP công bố cùng thời điểm phát hành bản vá.

Hãng bảo mật watchTowr — đơn vị theo dõi vụ rò rỉ — xác nhận đã tái hiện thành công ít nhất 1 trong 2 lỗ hổng và khẳng định đây là lỗ hổng RCE (thực thi mã từ xa) thật sự. Hiểu đơn giản: nếu khai thác thành công, kẻ tấn công có thể chạy mã tùy ý trên máy chủ của bạn từ xa, không cần tài khoản đăng nhập — tương đương bị chiếm quyền điều khiển máy chủ.

Về công cụ khai thác “PHP2Shell” đang lan truyền

Cùng lúc đó, một công cụ khai thác bị rò rỉ mang tên “PHP2Shell” đang được chia sẻ, tự nhận ảnh hưởng tới mọi phiên bản PHP từ 5.4 trở lên. Cần nhấn mạnh: phạm vi ảnh hưởng này CHƯA được đội ngũ PHP xác nhận chính thức — danh sách chính xác chỉ có khi bản vá phát hành. Bạn không nên hoảng loạn theo thông tin chưa kiểm chứng, nhưng cũng tuyệt đối không được chủ quan.

Ai bị ảnh hưởng?

Các nhánh PHP 8.2, 8.3, 8.4, 8.5: sẽ có bản vá

Chỉ 4 nhánh PHP còn đang trong thời gian hỗ trợ mới nhận được bản vá lần này: PHP 8.2, 8.3, 8.4 và 8.5. Nếu máy chủ của bạn chạy một trong 4 nhánh này, bạn thuộc nhóm cần cập nhật ngay khi bản vá phát hành tối nay.

PHP 8.1 trở xuống: KHÔNG có bản vá chính thức

Đây là nhóm đáng lo nhất: PHP 8.1 trở xuống (gồm 8.0, 7.x và cũ hơn) đã hết vòng đời hỗ trợ, nên sẽ không có bản vá chính thức. Nếu website của bạn chạy các phiên bản này, lựa chọn duy nhất là nâng cấp lên PHP 8.2+, hoặc tạm thời hạn chế truy cập, cô lập máy chủ đến khi nâng cấp được.

Lịch phát hành bản vá: 21:00 tối nay 21/10/2026

Bản vá khẩn cấp dự kiến phát hành vào 14:00 UTC ngày 21/10/2026, tức 21:00 giờ Việt Nam tối nay. Các phiên bản vá dự kiến gồm: PHP 8.2.35, PHP 8.3.36, PHP 8.4.27 và PHP 8.5.12 (chờ xác nhận trong thông báo phát hành chính thức). Đội ngũ PHP cũng để ngỏ khả năng phát hành sớm hơn nếu xuất hiện dấu hiệu khai thác thực tế, nên bạn hãy theo dõi sát trong ngày hôm nay.

Người dùng WordPress cần làm gì ngay?

1. Kiểm tra phiên bản PHP website đang chạy

Trong trang quản trị WordPress, vào Công cụ (Tools) → Sức khỏe trang (Site Health) → Thông tin (Info) → Máy chủ (Server) để xem phiên bản PHP. Hoặc xem trong hosting panel (cPanel, DirectAdmin, Plesk…). Con số này quyết định bạn thuộc nhóm “chờ vá tối nay” hay nhóm “phải nâng cấp gấp”.

2. Sao lưu toàn bộ website trước khi cập nhật

Hãy sao lưu đầy đủ cả file lẫn cơ sở dữ liệu trước mọi thao tác nâng cấp/cập nhật PHP, và chắc chắn bản sao lưu khôi phục được — có backup trong tay, mọi sự cố đều xử lý được.

3. Cập nhật PHP ngay tối nay khi bản vá phát hành

Ngay sau 21:00 tối nay, hãy cập nhật PHP lên phiên bản vá mới nhất của nhánh bạn đang dùng — qua hosting panel, hoặc liên hệ nhà cung cấp hosting để hỏi lịch cập nhật của họ. Đừng để qua đêm: một khi chi tiết kỹ thuật được công bố, thời gian an toàn sẽ tính bằng giờ.

4. Nếu đang ở PHP 8.1 trở xuống: lên kế hoạch nâng cấp ngay

Đưa việc nâng cấp lên PHP 8.2+ vào ưu tiên cao nhất tuần này. Trước khi nâng, kiểm tra tính tương thích của plugin/theme (cập nhật lên bản mới nhất, thử trên môi trường staging nếu có) và áp dụng thêm các biện pháp tạm thời ở mục dưới.

5. Biện pháp tạm thời trong lúc chờ bản vá

Nếu hosting có tường lửa ứng dụng web (WAF), hãy bật ở chế độ bảo vệ cao nhất. Đồng thời hạn chế truy cập khu vực quản trị (chỉ cho phép IP quen thuộc nếu làm được), giữ WordPress/plugin/theme ở bản mới nhất và tắt các plugin không còn sử dụng.

Lưu ý: chưa ghi nhận khai thác ngoài thực tế

Tính đến trưa 21/10/2026 (giờ Việt Nam), chưa ghi nhận trường hợp khai thác thành công ngoài thực tế đối với 2 lỗ hổng này — một điểm giúp chúng ta bình tĩnh. Tuy nhiên, thông tin đã rò rỉ trước thời hạn nên tình hình có thể thay đổi rất nhanh: hãy chuẩn bị sẵn sàng ngay từ bây giờ và cập nhật ngay khi bản vá phát hành tối nay.