Kính gửi Quý khách hàng và Đối tác,

Ngày 21/10/2026, nhóm phát triển PHP công bố 02 lỗ hổng bảo mật nghiêm trọng. Hai lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa (RCE) thông qua website và chiếm quyền điều khiển máy chủ:

  • CVE-2026-109618: Thực thi mã từ xa thông qua lỗi hỏng bộ nhớ khi hết bộ nhớ (OOM corruption)
  • CVE-2026-109619: Thực thi mã từ xa thông qua trạng thái toàn cục không được làm mới (stale global state)
  • Mức độ: Nghiêm trọng (Critical)
  • Phiên bản bị ảnh hưởng: Tất cả phiên bản PHP trước 8.5.12, 8.4.27, 8.3.36 và 8.2.35
  • Môi trường bị ảnh hưởng: Mọi máy chủ PHP phục vụ website, gồm PHP-FPM, Apache mod_php, php-cgi, FrankenPHP và LiteSpeed. Rủi ro cao nhất thuộc về Apache mod_php, nơi lỗ hổng có thể bị khai thác trước khi mã nguồn website được thực thi.

Dưới đây là các biện pháp xử lý khẩn cấp và tiến độ vá lỗi từ Đội ngũ Kỹ thuật Sudo.

I. THÔNG BÁO KHẨN: KÍCH HOẠT QUY TRÌNH PHÒNG VỆ HẠ TẦNG
(13h, ngày 21/10/2026)

Ngay khi nhận được cảnh báo, Đội ngũ kỹ sư Sudo đã kích hoạt quy trình ứng phó khẩn cấp:

  • Rà soát toàn diện: Kiểm tra toàn bộ hệ thống Cloud Server và Hosting do Sudo vận hành để xác định phạm vi ảnh hưởng.
  • Bổ sung lớp bảo vệ: Triển khai quy tắc tường lửa ứng dụng web (WAF) ở cấp máy chủ để ngăn chặn các truy cập dò quét và khai thác lỗ hổng trong thời gian chờ bản vá chính thức.
  • Giám sát 24/7: Theo dõi chặt chẽ log và lưu lượng truy cập để kịp thời phát hiện và xử lý các dấu hiệu bất thường.

II. CẬP NHẬT: HOÀN TẤT NÂNG CẤP BẢN VÁ LỖI
(Cập nhật lúc 21h10, ngày 21/10/2026)

Nhóm phát triển PHP đã chính thức phát hành bản vá cho các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35, 7.4. Với PHP 7.2, kho gói PHP cộng đồng Sury (packages.sury.org), được sử dụng rộng rãi trên Debian/Ubuntu, đã phát hành bản vá backport cho hai lỗ hổng này.

Sau khi kiểm thử tính tương thích, Sudo đã triển khai cập nhật như sau:

Phiên bản PHPGiải phápTrạng thái
PHP 8.5Nâng cấp lên bản vá chính thức 8.5.12Đã hoàn thành
PHP 8.4Nâng cấp lên bản vá chính thức 8.4.27Đã hoàn thành
PHP 8.3Nâng cấp lên bản vá chính thức 8.3.36Đã hoàn thành
PHP 8.2Nâng cấp lên bản vá chính thức 8.2.35Đã hoàn thành
PHP 7.4Nâng cấp lên bản vá backport (PHP Security Team / Sury 7.4.33-31)Đã hoàn thành
PHP 7.2Cập nhật bản vá backport từ Sury (7.2.34-66) và duy trì WAFĐã hoàn thành
Các phiên bản EOL khácDuy trì WAF chuyên dụng để chặn vector tấn côngĐã áp dụng biện pháp giảm thiểu

Lưu ý: Theo nhóm phát triển PHP, chỉ cập nhật bản vá mới khắc phục hoàn toàn lỗ hổng. Các biện pháp cấu hình và WAF chỉ giúp giảm rủi ro ở một số hướng tấn công. Bản vá cho PHP 7.2 do cộng đồng duy trì và chưa được đánh giá độc lập, vì vậy Sudo duy trì song song các lớp bảo vệ bổ sung.

Khuyến nghị dành cho Quý khách

  • Website và máy chủ do Sudo quản trị (PHP 7.4 trở lên): Đã được cập nhật bản vá và đang hoạt động ổn định. Quý khách không cần thực hiện thêm thao tác nào.
  • Website đang chạy PHP 8.1 trở xuống: Đây là các phiên bản đã ngừng hỗ trợ và sẽ không tiếp tục nhận bản vá cho các lỗ hổng tương lai. Sudo khuyến nghị Quý khách lên kế hoạch nâng cấp lên PHP 8.2 trở lên. Đội ngũ kỹ thuật sẵn sàng hỗ trợ kiểm tra tương thích mã nguồn và thực hiện nâng cấp.
  • Khách hàng tự quản trị VPS/Cloud Server: Vui lòng cập nhật PHP lên các phiên bản vá nêu trên ngay lập tức, thông qua kho gói của hệ điều hành hoặc kho Sury. Nếu chưa thể cập nhật ngay, Quý khách có thể áp dụng tạm thời các biện pháp giảm thiểu theo khuyến cáo của PHP:
    • Đặt session.upload_progress.enabled=0 trong php.ini hoặc cấu hình FPM pool, sau đó khởi động lại toàn bộ PHP worker.
    • Giới hạn post_max_size (8M nếu website không cần upload file, 32M nếu cần) và giữ upload_max_filesize nhỏ hơn giá trị này.
    • Với PHP 8.5: đặt fatal_error_backtraces=0 và khởi động lại worker.
    • Các biện pháp này chỉ giảm rủi ro, không thay thế được việc cập nhật bản vá. Vui lòng xem hướng dẫn đầy đủ tại link chính thức bên dưới hoặc liên hệ Sudo để được hỗ trợ.

Thông tin chi tiết

Bảo mật là quá trình giám sát liên tục. Sudo sẽ tiếp tục theo dõi và cập nhật bài viết này khi có thông tin mới.

Liên hệ hỗ trợ

Trân trọng cảm ơn sự tin tưởng và phối hợp của Quý khách!

ĐỘI NGŨ DEVOPS & AN NINH MẠNG – CÔNG TY THƯƠNG MẠI ĐIỆN TỬ SUDO