Trung tâm An ninh Tencent Cloud đã ra thông báo vào ngày 21 tháng 10, cảnh báo về lỗ hổng thực thi mã từ xa php2shell trong PHP, liên quan đến hai mã CVE-2026-109618 và CVE-2026-109619.
Điểm đáng lo ngại của lỗ hổng này là: kẻ tấn công không cần đăng nhập hay có tài khoản, chỉ cần gửi một yêu cầu POST multipart được tạo đặc biệt là có thể kích hoạt lỗi phá hoại bộ nhớ và giành quyền thực thi mã từ xa. Về lý thuyết, chúng có thể kiểm soát hoàn toàn máy chủ bị ảnh hưởng. Những lỗ hổng ở cấp độ ngôn ngữ như thế này gây áp lực không nhỏ cho các hệ thống nghiệp vụ truyền thống chạy trên đám mây.
Nhà Trắng Mỹ đã được thông báo về sự việc từ ngày 16 tháng 10, và hiện đang phối hợp với các cơ quan liên bang, phòng thí nghiệm tích hợp hệ thống và nhà mạng để đẩy nhanh việc phát hành bản vá, đồng thời đánh giá tác động đến các hệ thống chính phủ và cơ sở hạ tầng trọng yếu. Việc cả nhà cung cấp dịch vụ đám mây lẫn chính phủ cùng vào cuộc cho thấy mức độ rủi ro lần này đã vượt khỏi phạm vi “lỗi mã nguồn mở thông thường” và trở thành mối nguy ở cấp độ cơ sở hạ tầng.
Hiện vẫn chưa có thông tin công khai chi tiết về phạm vi các phiên bản bị ảnh hưởng cũng như lộ trình phát hành bản vá chính thức. Trước mắt, cách làm hợp lý hơn là kiểm tra xem hệ thống nghiệp vụ của mình có phụ thuộc vào nền tảng PHP hay không, kịp thời theo dõi hướng dẫn khắc phục từ nhà cung cấp và xem sự việc này như một đợt kiểm tra an ninh cơ sở hạ tầng, thay vì chỉ lướt qua như một tin tức thông thường.
Điểm đáng lo ngại của lỗ hổng này là: kẻ tấn công không cần đăng nhập hay có tài khoản, chỉ cần gửi một yêu cầu POST multipart được tạo đặc biệt là có thể kích hoạt lỗi phá hoại bộ nhớ và giành quyền thực thi mã từ xa. Về lý thuyết, chúng có thể kiểm soát hoàn toàn máy chủ bị ảnh hưởng. Những lỗ hổng ở cấp độ ngôn ngữ như thế này gây áp lực không nhỏ cho các hệ thống nghiệp vụ truyền thống chạy trên đám mây.
Nhà Trắng Mỹ đã được thông báo về sự việc từ ngày 16 tháng 10, và hiện đang phối hợp với các cơ quan liên bang, phòng thí nghiệm tích hợp hệ thống và nhà mạng để đẩy nhanh việc phát hành bản vá, đồng thời đánh giá tác động đến các hệ thống chính phủ và cơ sở hạ tầng trọng yếu. Việc cả nhà cung cấp dịch vụ đám mây lẫn chính phủ cùng vào cuộc cho thấy mức độ rủi ro lần này đã vượt khỏi phạm vi “lỗi mã nguồn mở thông thường” và trở thành mối nguy ở cấp độ cơ sở hạ tầng.
Hiện vẫn chưa có thông tin công khai chi tiết về phạm vi các phiên bản bị ảnh hưởng cũng như lộ trình phát hành bản vá chính thức. Trước mắt, cách làm hợp lý hơn là kiểm tra xem hệ thống nghiệp vụ của mình có phụ thuộc vào nền tảng PHP hay không, kịp thời theo dõi hướng dẫn khắc phục từ nhà cung cấp và xem sự việc này như một đợt kiểm tra an ninh cơ sở hạ tầng, thay vì chỉ lướt qua như một tin tức thông thường.