Nội dung bài viết
Hai lỗ hổng PHP2Shell (CVE-2026-109618 và CVE-2026-109619) đang buộc hàng triệu máy chủ PHP phải cập nhật khẩn - chi tiết kỹ thuật và cách xử lý có trong bài viết trước của chúng tôi. Nhưng câu chuyện phía sau còn đáng chú ý hơn: một trong hai lỗi đã được chỉ ra từ năm 2024 mà không được sửa, và chỉ thực sự được xử lý khi các công cụ rà soát mã bằng AI phát hiện lại và cho thấy mức độ nghiêm trọng của nó.
Lỗi bị bỏ ngỏ suốt hai năm
Theo tuyên bố của PHP Foundation (tổ chức phi lợi nhuận hỗ trợ phát triển PHP), lịch sử của CVE-2026-109618 bắt đầu từ năm 2024, khi PHP trải qua đợt kiểm định bảo mật độc lập đầu tiên sau nhiều năm. Vấn đề đã được nêu ra, nhưng không có hành động nào.
Lý do không phải vì thiếu quan tâm. Theo PHP Foundation, các kỹ sư đã tranh luận về cách sửa: mỗi phương án đều có rủi ro - phá vỡ tính tương thích ngược, tạo ra nguy cơ từ chối dịch vụ mới, hoặc buộc phải sửa hàng loạt extension của bên thứ ba, điều gần như không thể phối hợp. Nhóm bảo mật PHP làm việc theo nguyên tắc đồng thuận, "loay hoay chọn giữa các phương án và lo ngại hậu quả nếu chọn sai".
Thêm vào đó, thời điểm đó chưa ai tìm ra cách biến lỗi này thành thực thi mã từ xa, trong khi đội ngũ nắm sâu lõi PHP lại rất nhỏ và quá tải. Kết quả: việc sửa lỗi "bị dừng rồi bắt đầu lại nhiều lần trong nhiều tháng".
PHP Foundation giải thích rằng cả hai lỗi "nằm ở những phần mà gần như request nào cũng đi qua" - chính vị trí trung tâm đó khiến chúng vừa nguy hiểm, vừa khó sửa mà không ảnh hưởng tới tương thích, hiệu năng hay hệ sinh thái extension.
AI thay đổi cục diện
Đầu năm 2026, các dịch vụ rà soát mã bằng AI của Anthropic và OpenAI được dùng để quét mã nguồn PHP. Ngày 11/8/2026, một nhà nghiên cứu của công ty bảo mật Calif báo cáo các lỗi cho PHP. Theo OpenAI, Calif tìm ra một trong hai lỗi bằng mô hình GPT-5.6 Sol, trong khuôn khổ chương trình Patch the Planet của OpenAI về bảo mật mã nguồn mở. Công ty bảo mật Wiz cũng độc lập tìm ra và báo cáo cả hai lỗi; Trail of Bits và chính OpenAI cũng phát hiện các lỗi này trong quá trình kiểm định PHP.
Lần này, các báo cáo "làm rõ toàn bộ mức độ ảnh hưởng của vấn đề", và từ ngày 11/8, sửa lỗi trở thành ưu tiên số một của toàn bộ nhóm bảo mật PHP Foundation.
Quá trình công bố có phối hợp diễn ra suôn sẻ cho tới khi tin đồn về lỗ hổng bắt đầu lan trên mạng xã hội, khiến PHP phải công bố sớm hơn kế hoạch một ngày. Như đã nêu trong bài trước, Amazon ghi nhận những lần thử khai thác đầu tiên từ ngày 17/10 - bốn ngày trước khi có bản vá.
Quy mô ảnh hưởng
Các con số cho thấy vì sao giới bảo mật và nhiều chính phủ lo ngại:
- Ước tính hơn 70% website trên Internet dùng PHP.
- Phân tích của VirusTotal ghi nhận 5,1 triệu địa chỉ IP chạy PHP; ít nhất 758.000 IP đang chạy phiên bản PHP đã hết hỗ trợ, trong khi chỉ khoảng 85.000 IP chạy bản mới nhất trước đợt vá khẩn.
- Bản vá chỉ có cho PHP 8.2 trở lên. Cisco Talos ước tính khoảng 50% hệ thống PHP bị ảnh hưởng có thể sẽ không bao giờ được vá.
- Ngày 21/10, hàng trăm website của doanh nghiệp và cơ quan chính phủ đã phải tạm tắt để phòng ngừa.
OpenAI: lỗ hổng do AI tìm ra sẽ tăng mạnh
Từ kinh nghiệm hai tháng xử lý PHP2Shell, OpenAI công bố đề xuất quy trình 5 bước để xử lý lỗ hổng nghiêm trọng trong phần mềm được dùng rộng rãi. OpenAI viết rằng các lỗi PHP "chỉ là một trong số nhiều lỗ hổng nghiêm trọng chúng tôi đã tìm ra và đang xử lý", và dự báo số lượng phát hiện tương tự sẽ tăng mạnh trong những tháng tới.
Điều khiến quy trình cũ không còn phù hợp: nếu công cụ AI mà ai cũng dùng được - kể cả kẻ tấn công - chỉ kém một chút so với mô hình hàng đầu đang tìm lỗi, thì khoảng thời gian an toàn để chuẩn bị bản vá sẽ bị rút ngắn đáng kể.
Năm bước OpenAI đề xuất:
- Xác nhận và sửa lỗi: người duy trì dự án, nhà nghiên cứu và đối tác kỹ thuật xác nhận lỗi, đánh giá ảnh hưởng, viết và kiểm thử bản vá - trong đó có việc dùng chính mô hình AI để tìm cách vượt qua bản vá và các biến thể liên quan.
- Báo trước cho các bên then chốt: nhà phân phối chuẩn bị bản vá cho phiên bản cũ, nhà cung cấp hosting thử nghiệm biện pháp giảm thiểu, hãng bảo mật viết quy tắc tường lửa ứng dụng web (WAF).
- Phối hợp với chính phủ: với PHP, OpenAI và đối tác đã làm việc với Nhà Trắng, Văn phòng Giám đốc An ninh mạng Quốc gia Mỹ, CISA và các đối tác quốc tế.
- Mở rộng phạm vi thông báo tới nhiều nhà phân phối, nhà cung cấp và đơn vị vận hành hơn khi bản vá và kế hoạch công bố đã ổn định.
- Sau khi phát hành bản vá: công bố hướng dẫn và tiếp tục hỗ trợ trong lúc các bên triển khai.
Lịch trình sẽ được xem xét lại nếu lỗ hổng bị khai thác, bị rò rỉ, hoặc bản vá công khai để lộ quá nhiều thông tin. OpenAI cũng đặt ra những câu hỏi còn bỏ ngỏ: thời gian giữ bí mật nên kéo dài bao lâu, làm sao cân bằng giữa báo trước rộng rãi và nguy cơ rò rỉ, xử lý thế nào với các phiên bản cũ không còn được vá. Xa hơn, OpenAI phác họa viễn cảnh quét liên tục toàn Internet để cảnh báo chủ website, hoặc thậm chí tự vá hệ thống.
Chủ website nên chuẩn bị gì?
Nếu dự báo của OpenAI đúng, các đợt vá khẩn kiểu PHP2Shell sẽ xuất hiện thường xuyên hơn, và khoảng cách từ lúc công bố tới lúc bị khai thác sẽ ngắn hơn. Một vài nguyên tắc đáng áp dụng ngay:
- Không chạy phiên bản hết hỗ trợ. Website trên PHP 8.1 trở về trước, Node.js 20 trở về trước... sẽ không nhận được bản vá khi có sự cố. Đây là nhóm có nguy cơ cao nhất.
- Biết rõ mình đang chạy gì. Lập danh sách phiên bản PHP, máy chủ web, CMS, plugin và thư viện của từng website để có thể kiểm tra trong vài phút khi có cảnh báo.
- Chuẩn bị quy trình cập nhật nhanh: có bản sao lưu gần nhất, có môi trường thử nghiệm, biết ai chịu trách nhiệm cập nhật máy chủ (nhất là khi dùng hosting của bên thứ ba).
- Dùng thêm một lớp bảo vệ như WAF (Cloudflare, Wordfence...). Với PHP2Shell, các hãng WAF có quy tắc chặn từ trước khi lỗi được công bố, nhờ bước "báo trước cho các bên then chốt" ở trên.
- Theo dõi nguồn tin bảo mật của các thành phần mình đang dùng để không bỏ lỡ cảnh báo.
AI đang giúp tìm ra những lỗi mà con người bỏ sót suốt nhiều năm - đó là tin tốt về lâu dài. Nhưng trong ngắn hạn, nó cũng có nghĩa là nhịp cập nhật bảo mật sẽ phải nhanh hơn với tất cả chúng ta.
Cần hỗ trợ cập nhật và bảo vệ website?
Không phải doanh nghiệp nào cũng có sẵn đội kỹ thuật để theo dõi cảnh báo và cập nhật máy chủ ngay khi có lỗ hổng như PHP2Shell. Với dịch vụ Bảo trì & Hỗ trợ kỹ thuật, Web99 giúp bạn:
- quét lỗ hổng và cập nhật bản vá khi có mối đe dọa mới;
- nâng cấp thư viện, framework để website luôn tương thích và an toàn;
- theo dõi tình trạng server/hosting và sao lưu dữ liệu định kỳ;
- hỗ trợ kỹ thuật 24/7, ưu tiên xử lý các sự cố khẩn cấp như sập web, lỗi thanh toán hay bị tấn công mạng.
Nguồn tham khảo: The Record, Help Net Security và BleepingComputer.
