Một cuộc khủng hoảng bảo mật nghiêm trọng vừa bùng nổ trên diện rộng đối với hệ sinh thái web toàn cầu. Đội ngũ nghiên cứu bảo mật Sansec Forensics Team cùng các chuyên gia quốc tế đã phát đi cảnh báo đỏ về chuỗi lỗ hổng mang tên PHP2Shell, cho phép tin tặc thực thi mã từ xa (RCE) mà không cần xác thực danh tính (unauthenticated).

Đáng báo động, lỗ hổng này nằm trực tiếp trong nhân xử lý cốt lõi (PHP engine) từ phiên bản PHP 5.4 trở lên, khiến hàng loạt nền tảng mã nguồn mở phổ biến như WordPress, Magento, Laravel, Drupal, Symfony, WooCommerce,... đều có nguy cơ bị tấn công ngay cả khi mã nguồn của website hoàn toàn sạch.

1. Thông tin tổng quan về lỗ hổng

• Mã định danh: CVE-2026-109618 và CVE-2026-109619
• Mức độ nghiêm trọng: CVSS v4.0 đạt 9.2/10 (Critical)
• Bản chất lỗ hổng: Use-After-Free (UAF) trong engine PHP khi xử lý lỗi Out-Of-Memory (vượt memory_limit) kết hợp cơ chế theo dõi tải lên (upload progress) và OPcache.
• Tác động:
  • RCE (Remote Code Execution): Chiếm quyền điều khiển máy chủ web hoàn toàn mà không cần tài khoản đăng nhập.
  • Memory Disclosure (Rò rỉ bộ nhớ): Tương tự lỗi Heartbleed khét tiếng trước đây, tin tặc có thể trích xuất token phiên, mật khẩu, API key, thậm chí cả khóa riêng tư TLS (private key) nằm trong tiến trình bộ nhớ của PHP worker.

2. Vì sao PHP2Shell lại đặc biệt nguy hiểm?

1. Xử lý trước tầng ứng dụng: Khai thác lợi dụng luồng phân tích dữ liệu multipart/form-data của PHP. Quá trình này diễn ra trước khi code của website (WordPress, Magento, v.v.) kịp chạy. Do đó, các plugin bảo mật hay chế độ bảo trì (Maintenance Mode) ở cấp ứng dụng hoàn toàn bị vô hiệu hóa.
2. Khai thác thực tế đã diễn ra: Mã khai thác (PoC / exploit tool) đã được công khai. Cloudflare đã ghi nhận các đợt quét tấn công thực tế trước cả thời điểm bản vá chính thức được phát hành rộng rãi.
3. Phạm vi ảnh hưởng cực rộng: Lỗ hổng tồn tại trên hầu hết các máy chủ chạy PHP từ phiên bản 5.4 (phát hành từ 2012) cho đến nay, hỗ trợ trên cả mô hình Apache mod_php lẫn PHP-FPM.

3. Khuyến nghị khắc phục khẩn cấp

Giải pháp triệt để: Nâng cấp PHP ngay lập tức

• Quản trị viên hệ thống cần tiến hành cập nhật PHP lên phiên bản mới nhất đã được vá lỗi từ kho chính thức của hệ điều hành hoặc mã nguồn.
• Lưu ý phiên bản cũ: Dự án PHP chỉ hỗ trợ các phiên bản từ 8.2 trở lên. Nếu máy chủ vẫn đang dùng PHP 8.1 trở xuống, hệ thống sẽ không có bản vá chính thức; quản trị viên cần yêu cầu nhà cung cấp hạ tầng backport bản vá hoặc lập kế hoạch nâng cấp phiên bản PHP càng sớm càng tốt.

Biện pháp giảm thiểu tạm thời (nếu chưa thể cập nhật ngay)

Nếu hệ thống chưa thể bảo trì để nâng cấp PHP trong thời gian ngắn, cần áp dụng ngay các biện pháp rào chắn sau ở tầng Web Server:

1. Chặn request dạng multipart/form-data:
   Hầu hết các vector tấn công đều lợi dụng định dạng tải file này. Chặn tạm thời sẽ làm ngưng tính năng tải ảnh/tệp nhưng bảo vệ máy chủ an toàn.
   • Đối với Nginx: Thêm vào block server:
   if ($http_content_type ~* "multipart/form-data") {
       return 403;
   }
   • Đối với Apache: Thêm vào cấu hình <VirtualHost>:
   RewriteEngine On
   RewriteCond %{HTTP:Content-Type} multipart/form-data [NC]
   RewriteRule ^ - [F]
2. Chuyển website sang chế độ chỉ đọc (Read-only):
   Cấu hình Web Server từ chối tất cả phương thức gửi dữ liệu ngoại trừ GET và HEAD:
   if ($request_method !~ ^(GET|HEAD)$) {
       return 503;
   }
3. Điều chỉnh cấu hình PHP (php.ini hoặc pool PHP-FPM):
   Tắt tính năng theo dõi upload session và gỡ trần giới hạn bộ nhớ tạm thời:
   session.upload_progress.enabled = 0
   memory_limit = -1
   ⚠️ (Cần theo dõi sát RAM máy chủ khi bỏ giới hạn bộ nhớ và khôi phục lại ngay sau khi hoàn tất cập nhật PHP).