Vào ngày 22/10, Cục An ninh mạng phối hợp cùng Hiệp hội An ninh mạng quốc gia đã đưa ra những thông tin chính thức về hai lỗ hổng bảo mật mang tính chất nghiêm trọng cao. Các điểm yếu này mang định danh lần lượt là CVE-2026-109618 và CVE-2026-109619, hiện hữu trực tiếp trên ngôn ngữ lập trình phổ biến PHP.
Ngôn ngữ PHP lâu nay vẫn giữ vai trò xương sống, chịu trách nhiệm vận hành phần lớn các trang web thương mại điện tử, hệ thống cổng thông tin điện tử cũng như các nền tảng quản trị nội dung CMS trên toàn cầu. Đáng chú ý, bộ đôi lỗ hổng này được phát hiện bởi hãng bảo mật Wiz cùng các nhóm nghiên cứu nhờ sự trợ giúp đắc lực của trí tuệ nhân tạo AI. Theo thang đánh giá mức độ nguy hiểm CVSS v4.0, cả hai đều đạt mức 9,2/10 điểm. Khi bị tin tặc khai thác thành công, chúng cho phép kẻ tấn công thực thi mã từ xa RCE ngay trên máy chủ web đang chạy PHP mà hoàn toàn không cần thực hiện thao tác đăng nhập.
Dựa trên các tài liệu công bố, mức độ rủi ro thực tế đối với từng hạ tầng sẽ phụ thuộc vào phiên bản PHP đang áp dụng cũng như cấu trúc mô hình triển khai cụ thể của đơn vị. Thêm vào đó, quá trình khai thác đòi hỏi hacker phải gửi đi những gói tin yêu cầu được tùy biến đặc biệt, đồng thời phải kiểm soát một cách chuẩn xác trạng thái của bộ nhớ máy chủ.
Giải pháp phòng thủ và trạng thái hỗ trợ từ nhà phát triển
Các hệ thống CNTT có tích hợp hệ thống tường lửa ứng dụng web WAF với các cấu hình chuẩn mực sẽ có khả năng chặn lọc rất hiệu quả các luồng truy vấn bất thường. Điều này giúp hạ thấp đáng kể rủi ro bị xâm nhập trái phép. Ở thời điểm hiện tại, rất nhiều đơn vị cung cấp dịch vụ hosting và hạ tầng điện toán đám mây đã chủ động tiến hành cập nhật bản vá, đồng thời bổ sung thêm các quy tắc phòng thủ chuyên sâu ngay trên hệ thống máy chủ dùng chung. Đối với các khách hàng đang thuê dịch vụ lưu trữ bên ngoài, việc cần làm ngay là liên hệ trực tiếp với nhà cung cấp để kiểm tra trạng thái bảo mật của hệ thống.
Phía đội ngũ phát triển ngôn ngữ PHP cũng đã chính thức tung ra các bản vá lỗi cho các nhánh phiên bản cụ thể bao gồm: 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Riêng với các dòng phiên bản cũ đã chính thức chấm dứt vòng đời hỗ trợ như PHP 7.4, 8.0 và 8.1, các nhà phát triển cung cấp mã nguồn để tự xử lý. Các bản phân phối hệ điều hành Linux quen thuộc như Ubuntu, Debian, Red Hat và AlmaLinux cũng đã phát hành những gói cập nhật riêng biệt. Tuy nhiên, các phiên bản từ PHP 7.3 trở về trước sẽ không nhận được bất kỳ bản vá nào và bắt buộc các quản trị viên phải tiến hành nâng cấp toàn diện.
Cơ quan chức năng nhấn mạnh rằng việc phát hiện và công bố các lỗ hổng là một chu trình hoàn toàn bình thường trong bức tranh tổng thể của ngành công nghệ. Điều cốt lõi là các bản vá lỗi đã sẵn sàng, các đơn vị cung cấp hạ tầng đã hành động và các tổ chức có đủ dữ liệu để xử lý. Thay vì tỏ ra hoang mang, ưu tiên hàng đầu lúc này là tiến hành rà soát toàn diện, áp dụng bản vá theo đúng thứ tự ưu tiên và duy trì giám sát liên tục.
Góc nhìn chuyên gia kỹ thuật từ TTC Việt Nam
Theo các kỹ sư hạ tầng mạng tại TTC Việt Nam, sự cố về lỗ hổng PHP lần này một lần nữa gióng lên hồi chuông cảnh báo về tầm quan trọng của việc quản trị tài nguyên và cập nhật phần mềm định kỳ trong doanh nghiệp. Trong bối cảnh chuyển đổi số mạnh mẽ, nhiều hệ thống thử nghiệm hoặc các máy chủ ít được chú ý thường bỏ quên việc vá lỗi, vô tình tạo ra "cửa hậu" cho tội phạm mạng. Doanh nghiệp cần xây dựng quy trình kiểm toán hạ tầng mạng và máy chủ định kỳ, kết hợp cùng các giải pháp tường lửa thế hệ mới để đảm bảo an toàn thông tin tối đa.
Các bước ứng phó dành cho doanh nghiệp và người dùng
Đối với các doanh nghiệp và tổ chức tự xây dựng, vận hành hệ thống máy chủ riêng, Cục An ninh mạng và Hiệp hội An ninh mạng quốc gia đưa ra quy trình xử lý gồm 4 bước trọng tâm:
- Rà soát toàn diện hệ thống: Lập bản kiểm kê chi tiết toàn bộ các máy chủ, website, các môi trường kiểm thử, môi trường container hay các máy chủ ít quan trọng có tích hợp PHP kèm theo phiên bản cụ thể. Tránh để sót các hệ thống bị lãng quên.
- Cập nhật bản vá bảo mật: Tiến hành nâng cấp hệ thống lên các phiên bản đã được vá lỗi. Lưu ý đặc biệt với các hệ thống đang chạy PHP 8.1 trở xuống cần lên phương án nâng cấp hoặc áp dụng các lớp bảo vệ cô lập tạm thời.
- Giảm thiểu bề mặt tấn công: Kích hoạt và tinh chỉnh luật trên WAF, thiết lập giới hạn về kích thước cũng như số lượng yêu cầu truy vấn tại web server hoặc proxy, kiểm tra các thông số giới hạn bộ nhớ của PHP. Cần thử nghiệm trên môi trường staging trước khi đưa vào môi trường sản xuất.
- Đẩy mạnh giám sát nhật ký log: Thường xuyên theo dõi các dấu hiệu bất thường như lượng request quá lớn, tần suất cao, lỗi tràn bộ nhớ xuất hiện liên tục, tiến trình PHP đột ngột dừng hoạt động hoặc sự xuất hiện của các tệp tin lạ trên phân vùng máy chủ.
Trong khi đó, đối với người dùng phổ thông trên không gian mạng, cơ quan chức năng khẳng định nhóm đối tượng này không chịu ảnh hưởng trực tiếp bởi lỗ hổng xuất phát từ phía máy chủ này. Các hoạt động lướt web, thanh toán hay giao dịch trực tuyến cá nhân vẫn diễn ra an toàn bình thường.
Mặc dù vậy, người dùng cá nhân vẫn nên duy trì các thói quen bảo mật cơ bản như kích hoạt xác thực hai lớp 2FA, thiết lập mật khẩu mạnh và duy trì sự cảnh giác cao độ trước các đường link, email hay tin nhắn giả mạo thông báo sự cố để đánh cắp thông tin. Những thói quen này cần được duy trì thường trực bất kể có hay không các thông tin về lỗ hổng bảo mật mới xuất hiện.
Để được tư vấn chi tiết về các giải pháp bảo mật hạ tầng mạng, phòng chống tấn công mạng và tối ưu hóa hệ thống máy chủ an toàn, quý doanh nghiệp vui lòng liên hệ trực tiếp với đội ngũ chuyên gia của TTC Việt Nam tại ttcvn.net để nhận hỗ trợ nhanh chóng nhất.
