Hướng dẫn kiểm tra và khắc phục 2 lỗ hổng PHP RCE nghiêm trọng

Ngày 21/10/2026, PHP Security Team công bố hai lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619, còn được gọi là PHP2Shell. Cả hai có điểm CVSS v4.0: 9.2/10 và có thể dẫn đến thực thi mã từ xa (RCE) không cần xác thực trong những điều kiện nhất định.

PHP đã phát hành bản vá chính thức cho các nhánh 8.2–8.5. Nhiều phiên bản PHP cũ cũng được vá thông qua DirectAdmin, cPanel, CloudLinux và các nhà cung cấp hệ điều hành như Ubuntu, Debian, Red Hat và Amazon Linux.

1. Chi tiết hai lỗ hổng PHP

• CVE-2026-109618: Lỗi xử lý Out of Memory (OOM), có thể khiến dữ liệu nội bộ chưa được khởi tạo đầy đủ bị sử dụng trong quá trình dọn dẹp request, dẫn đến hỏng bộ nhớ và RCE.
• CVE-2026-109619: Lỗi trạng thái nội bộ tồn tại sau khi vùng nhớ đã được giải phóng, có thể dẫn đến truy cập bộ nhớ không hợp lệ và RCE ở các request tiếp theo.

Các môi trường cần kiểm tra gồm Apache mod_php, PHP-FPM, PHP-CGI, LiteSpeed và FrankenPHP. Theo PHP Security Team, Apache mod_php có nguy cơ đặc biệt cao do đã có phương thức khai thác được chứng minh.

2. Các phiên bản PHP chính thức đã vá

Ngày 21/10/2026, PHP phát hành những phiên bản bảo mật sau:

Nhánh PHP	Phiên bản đã vá
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

Đối với PHP 8.1 trở xuống, dự án PHP không tiếp tục phát hành phiên bản chính thức mới. Tuy nhiên, mã vá backport và các package bảo mật đã được nhiều nhà cung cấp triển khai.

3. Tình trạng bản vá từ các nhà cung cấp

Nhà cung cấp	Thông tin cập nhật
DirectAdmin	CustomBuild có các bản cập nhật hỗ trợ patch PHP cũ. Cần rebuild và xác minh bản vá.
cPanel/WHM	EasyApache4 đã có các gói bảo mật, bao gồm PHP 7.4, 8.0 và 8.1.
CloudLinux	Cung cấp bản vá cho nhiều nhánh PHP cũ qua alt-php, ea-php và các giải pháp hỗ trợ mở rộng.
Plesk	Đã phát hành các bản PHP build được vá cho những nhánh được hỗ trợ.
Ubuntu	Canonical đã phát hành các bản vá cho những phiên bản Ubuntu được hỗ trợ, bao gồm gói PHP backport.
Debian	Debian 12 và Debian 13 đã có các bản cập nhật PHP trong kho bảo mật.
Red Hat	Đã phát hành Security Errata cho các sản phẩm và nhánh PHP được hỗ trợ.
AlmaLinux / Oracle Linux	Đã có các security advisory cho những phiên bản được hỗ trợ. Cần kiểm tra errata cụ thể.
Amazon Linux	Amazon Linux 2023 đã phát hành các gói vá PHP 8.2–8.5.
LiteSpeed	LiteSpeed Web Server 6.3.7 Build 5 đã cập nhật admin_php. Cần kiểm tra riêng lsphp phục vụ website.

Lưu ý quan trọng: Bản vá backport có thể không làm thay đổi số phiên bản PHP. Vì vậy, chỉ kiểm tra kết quả php -v là chưa đủ. Cần xác minh package, changelog, nguồn repository và PHP runtime thực tế.

4. Hướng dẫn kiểm tra và khắc phục

Trước khi cập nhật: Sao lưu dữ liệu, kiểm tra tương thích ứng dụng và xác định toàn bộ phiên bản PHP đang sử dụng trên máy chủ.

4.1. DirectAdmin / CustomBuild

Với quyền quản trị máy chủ, cập nhật DirectAdmin và kiểm tra các bản PHP khả dụng:

da update
da build versions

Sau khi xác nhận CustomBuild có mã vá phù hợp, thực hiện rebuild PHP:

da build php

Kiểm tra log build, các patch được áp dụng và dịch vụ PHP đã sử dụng bản build mới. Không nên mặc định rằng mọi nhánh PHP cũ đều được vá chỉ vì lệnh rebuild thành công.

4.2. cPanel / WHM

Cập nhật các gói PHP qua EasyApache4 hoặc hệ thống cập nhật package của cPanel.

Trên hệ thống RPM, có thể kiểm tra changelog của PHP 8.1:

rpm -q --changelog ea-php81-php-cli | grep -E 'CVE-2026-(109618|109619)'

Đối chiếu package thực tế với thông báo của cPanel và xác minh cả hai CVE.

4.3. CloudLinux

Trước tiên xác định website sử dụng alt-php, ea-php hay PHP hệ thống. Với hệ thống sử dụng DNF và repository tương ứng, có thể cập nhật:

dnf upgrade 'alt-php*'

Hoặc với ea-php:

dnf upgrade 'ea-php*'

Chỉ chạy lệnh phù hợp với nguồn package đang sử dụng. Sau khi cập nhật, cần xác minh changelog và khởi động lại dịch vụ liên quan.

4.4. Ubuntu / Debian

Đối với PHP được cài đặt từ repository hệ điều hành, kiểm tra và cập nhật các gói bảo mật:

sudo apt update
apt list --upgradable

Kiểm tra nguồn và phiên bản package, ví dụ:

apt-cache policy php8.2-fpm

Sau khi xác minh repository đã có bản vá, cập nhật package PHP tương ứng bằng APT.

Ví dụ, Debian Security Tracker ghi nhận:

• Debian 12: php8.2 8.2.35-1~deb12u1.
• Debian 13: php8.4 8.4.27-1~deb13u1.

Ubuntu sử dụng các phiên bản package riêng và có thể backport bản vá mà không nâng số phiên bản PHP chính.

4.5. Red Hat / AlmaLinux / Oracle Linux / Amazon Linux

Đối với hệ thống sử dụng DNF, kiểm tra security advisory:

sudo dnf updateinfo list --security
sudo dnf updateinfo info --cve CVE-2026-109618
sudo dnf updateinfo info --cve CVE-2026-109619

Sau khi xác nhận gói bảo mật phù hợp với hệ điều hành, thực hiện cập nhật theo hướng dẫn của nhà cung cấp.

Không nên sử dụng phiên bản package của Ubuntu, Debian hoặc Amazon Linux để kết luận trạng thái bản vá trên hệ điều hành khác.

4.6. LiteSpeed / OpenLiteSpeed

LiteSpeed Web Server 6.3.7 Build 5, phát hành ngày 22/10/2026, đã cập nhật thành phần admin_php nhằm khắc phục hai CVE.

Tuy nhiên, admin_php và lsphp là các thành phần khác nhau. Việc cập nhật LiteSpeed Web Server không tự động chứng minh các gói lsphp đang phục vụ website đã được vá.

Quản trị viên cần xác minh riêng nguồn cài đặt và phiên bản package lsphp thực tế.

5. Biện pháp giảm thiểu khi chưa thể cập nhật ngay

PHP Security Team khẳng định các biện pháp tạm thời không thay thế việc cập nhật bản vá.

Để giảm một số đường khai thác liên quan đến session upload progress, quản trị viên có thể cân nhắc thiết lập ở cấp cấu hình PHP:

session.upload_progress.enabled=0

Cấu hình phải có hiệu lực trước khi request được xử lý. Sau thay đổi, cần khởi động lại các PHP worker liên quan.

Với lỗi OOM, việc điều chỉnh giới hạn request, upload hoặc bộ nhớ phải được đánh giá cẩn thận để tránh ảnh hưởng đến độ ổn định của máy chủ.

Quan trọng: WAF, cấu hình giảm thiểu và giới hạn request không bảo đảm khắc phục hoàn toàn hai lỗ hổng.

6. Các thông báo bảo mật PHP bổ sung

Ngày 23/10/2026: Session upload progress

PHP công bố thêm một tình huống RCE hiếm gặp liên quan đến việc thay đổi session.serialize_handler trong quá trình chạy, kết hợp với session upload progress.

PHP khuyến nghị tạm thời đặt session.upload_progress.enabled=0 cho đến bản sửa lỗi thường kỳ tiếp theo. Vấn đề riêng này dự kiến mang mã CVE-2026-115560.

Ngày 26/10/2026: Cập nhật PHP Windows

PHP phát hành các bản Windows build mới để tích hợp Brotli 1.2.1, khắc phục CVE-2026-111497:

• PHP 8.5.12-1
• PHP 8.4.27-1
• PHP 8.3.36-1
• PHP 8.2.35-1

Hậu tố -1 thể hiện bản đóng gói lại dành cho Windows, không phải phiên bản PHP runtime mới. Bản cập nhật Brotli này cần được phân biệt với hai CVE RCE công bố ngày 21/10.

7. Khuyến nghị dành cho WordPress và WooCommerce

1. Kiểm tra phiên bản PHP tại WordPress → Tools → Site Health → Info → Server.
2. Yêu cầu nhà cung cấp hosting xác minh hai CVE đã được vá.
3. Sao lưu mã nguồn và database trước khi thay đổi PHP.
4. Kiểm tra khả năng tương thích của WordPress, theme và plugin.
5. Cập nhật PHP hoặc package bảo mật được nhà cung cấp xác nhận.
6. Kiểm tra lại đăng nhập, biểu mẫu, giỏ hàng, thanh toán và log lỗi.

8. Kết luận

Hai lỗ hổng CVE-2026-109618 và CVE-2026-109619 là những vấn đề bảo mật PHP nghiêm trọng cần được xử lý sớm.

Ngoài các phiên bản PHP 8.2–8.5 đã có bản vá chính thức, nhiều phiên bản PHP cũ cũng có bản vá backport từ nhà cung cấp hosting hoặc hệ điều hành.

ThemeWP.vn khuyến nghị: Kiểm tra đúng nguồn package PHP, cập nhật bản vá được nhà cung cấp xác nhận và xác minh dịch vụ đang thực sự chạy mã đã vá. Các nhánh PHP hết vòng đời hỗ trợ vẫn nên được nâng cấp để giảm rủi ro bảo mật lâu dài.

9. Nguồn tham khảo chính thức

• PHP Security Advisory – 21/10/2026
• PHP – Session Upload Progress Advisory
• PHP – Windows Build Update
• DirectAdmin – Critical PHP Updates
• cPanel – PHP Security Release
• CloudLinux – PHP Security Advisory
• Ubuntu – PHP2Shell Security Update
• Debian Security Tracker
• Red Hat – CVE Security Advisory
• Amazon Linux – Security Advisory
• LiteSpeed Web Server – Changelog

Thông tin cập nhật đến ngày 28/10/2026. Phiên bản package và tình trạng bảo mật thực tế phụ thuộc hệ điều hành, repository, control panel và cấu hình máy chủ.