• CZ cảnh báo người dùng tiền mã hóa cần thận trọng sau khi hai lỗ hổng PHP, mỗi lỗ hổng được chấm 9,2 trên 10, được công bố.

• PHP đã phát hành các bản vá vào ngày 21 tháng 10, trong khi các cơ quan an ninh mạng kêu gọi các tổ chức cập nhật những hệ thống dễ bị tấn công sau khi có thông tin về việc các lỗ hổng đang bị khai thác.

Nhà sáng lập Binance Changpeng Zhao đã khuyến cáo người dùng tiền mã hóa thận trọng khi truy cập các trang web, sau khi phát hiện hai lỗ hổng nghiêm trọng trong PHP, ngôn ngữ lập trình được sử dụng rộng rãi để xây dựng trang web và ứng dụng trực tuyến.

Trong cảnh báo đăng ngày 21 tháng 10, Zhao đề cập đến các lỗ hổng mang mã CVE-2026-109618 và CVE-2026-109619, đồng thời lưu ý rằng quản trị viên trang web có thể chưa cài đặt các bản cập nhật bảo mật mới nhất.

Cứ cho là tôi lo xa, nhưng trong vài ngày tới, hãy hết sức cẩn thận khi truy cập BẤT KỲ trang web nào, vì không phải quản trị viên web nào cũng luôn cập nhật các bản vá bảo mật mới nhất. Hai lỗ hổng (CVE-2026-109618 và CVE-2026-109619) được phát hiện trong PHP, ngôn ngữ lập trình web, ảnh hưởng đến các máy chủ chạy những ứng dụng phổ biến như WordPress và Magento. Các bản vá được phát hành vào ngày 21 tháng 10 năm 2026, sau khi thông tin chi tiết bị rò rỉ sớm. Việc khai thác đã được xác nhận trên thực tế ngay sau khi thông tin được công bố, khiến các nhóm CNTT nhanh chóng triển khai biện pháp bảo vệ WAF và cài đặt bản vá, vì các cuộc tấn công không cần xác thực có thể biến những trang web người dùng truy cập thành phương tiện đánh cắp thông tin đăng nhập hoặc khai thác thiết bị. Hãy luôn SAFU!

— CZ BNB (@cz_binance) ngày 21 tháng 10 năm 2026

Các lỗ hổng có mức độ nghiêm trọng 9,2/10 và có thể cho phép kẻ tấn công thực thi mã độc trên các máy chủ bị ảnh hưởng mà không cần xác thực. Điều này có thể giúp kẻ tấn công truy cập vào các tệp hoặc cơ sở dữ liệu trên máy chủ, cũng như chỉnh sửa nội dung trang web.

Phát hành bản cập nhật bảo mật khẩn cấp

Nhóm phát triển PHP đã phát hành các bản cập nhật bảo mật vào ngày 21 tháng 10 và khuyến cáo quản trị viên cập nhật hệ thống ngay lập tức. Các phiên bản đã được khắc phục là PHP 8.2.35, 8.3.36, 8.4.27 và 8.5.12.

Theo thông báo bảo mật chính thức của PHP, một lỗ hổng liên quan đến lỗi hỏng bộ nhớ khi hệ thống hết bộ nhớ, trong khi lỗ hổng còn lại khiến dữ liệu nội bộ vẫn có thể truy cập sau khi vùng bộ nhớ chứa dữ liệu đó được giải phóng. Cả hai lỗi đều có khả năng cho phép thực thi mã từ xa trong các cấu hình bị ảnh hưởng.

Những lo ngại về bảo mật đã khiến các cơ quan an ninh mạng của chính phủ đưa ra cảnh báo. Cơ quan An ninh mạng Liên minh châu Âu cùng các cơ quan khác của châu Âu đã kêu gọi các tổ chức xác định những hệ thống bị ảnh hưởng và áp dụng các bản vá hiện có. Trung tâm An ninh mạng Quốc gia New Zealand cũng cho biết họ đã ghi nhận hoạt động khai thác đang diễn ra.

Đối với người dùng tiền mã hóa, mối lo ngại là kẻ tấn công xâm nhập được một trang web có thể chỉnh sửa nội dung hoặc chèn các lời nhắc kết nối ví và trang đăng nhập giả mạo. Tuy nhiên, các lỗ hổng chủ yếu ảnh hưởng đến máy chủ trang web; việc truy cập một trang web chạy PHP không tự động khiến thiết bị hay ví tiền mã hóa của người truy cập bị xâm phạm.

Nhóm PHP cho biết cập nhật là cách duy nhất để khắc phục hoàn toàn. Quản trị viên đang sử dụng các phiên bản PHP cũ không còn được hỗ trợ có thể cần nâng cấp hoặc yêu cầu nhà cung cấp phần mềm cung cấp bản sửa lỗi phù hợp.

Tính đến ngày 22 tháng 10, đã có các báo cáo về hoạt động khai thác, nhưng các nguồn được xem xét chưa xác nhận sự cố nào trực tiếp liên kết những lỗ hổng này với vụ xâm nhập sàn giao dịch tiền mã hóa hoặc tổn thất ví của người dùng.