Ngày 21-10-2026, nhóm phát triển PHP công bố hai lỗ hổng nghiêm trọng mang tên PHP2Shell (CVE-2026-109618 và CVE-2026-109619), cho phép kẻ tấn công thực thi mã từ xa trên máy chủ sử dụng PHP chưa được khắc phục, làm gia tăng nguy cơ mất an toàn dữ liệu và gián đoạn dịch vụ. Cả hai lỗ hổng cùng được chấm 9,2/10 điểm theo thang CVSS v4.0. Sự việc nhấn mạnh tầm quan trọng của việc kiểm kê thành phần phần mềm, xác định phiên bản bị ảnh hưởng và triển khai bản vá kịp thời. Với các tổ chức đang vận hành website và ứng dụng sử dụng PHP, việc chủ động đánh giá rủi ro là bước cần thiết để hạn chế nguy cơ bị khai thác.
Theo thông tin kỹ thuật được cung cấp, hai lỗ hổng được đánh giá ở mức nghiêm trọng, có thể cho phép kẻ tấn công thực thi lệnh trên máy chủ web trong những điều kiện nhất định mà không cần xác thực. Nếu bị khai thác thành công, hệ thống có thể đối mặt với nguy cơ bị chiếm quyền kiểm soát, rò rỉ dữ liệu, gián đoạn dịch vụ hoặc bị lợi dụng làm bàn đạp để tấn công các hệ thống khác trong mạng nội bộ.
PHP được sử dụng rộng rãi trong phát triển website và ứng dụng web. Do đó, việc xác định chính xác những hệ thống có sử dụng PHP, bao gồm cả các thành phần được đóng gói trong sản phẩm của bên thứ ba, đóng vai trò quan trọng trong quá trình ứng phó.
Vì sao lỗ hổng PHP2Shell là mối quan ngại đối với doanh nghiệp?
1. Khó xác định toàn bộ thành phần PHP đang sử dụng
PHP có thể xuất hiện trong mã nguồn ứng dụng, container image, nền tảng website hoặc các sản phẩm do nhà cung cấp bên thứ ba triển khai. Nếu không có danh mục thành phần phần mềm đầy đủ, doanh nghiệp có thể bỏ sót những hệ thống đang sử dụng phiên bản bị ảnh hưởng.
2. Cập nhật website chưa chắc đã khắc phục được lỗ hổng
PHP2Shell liên quan đến chính môi trường PHP. Vì vậy, chỉ cập nhật hệ quản trị nội dung, plugin hoặc mã nguồn website không đồng nghĩa với việc lỗ hổng trong runtime PHP đã được xử lý. Doanh nghiệp cần xác minh phiên bản PHP thực tế đang chạy và áp dụng bản cập nhật phù hợp.
3. Phiên bản PHP cũ làm gia tăng rủi ro
Các hệ thống sử dụng phiên bản PHP đã hết thời gian hỗ trợ có thể không còn nhận được bản vá bảo mật chính thức. Trong trường hợp này, doanh nghiệp cần đánh giá phương án nâng cấp, sử dụng bản vá được nhà cung cấp hỗ trợ hoặc thay thế thành phần không còn được duy trì.
4. Chậm trễ trong xác định phạm vi ảnh hưởng
Khi một lỗ hổng nghiêm trọng được công bố, đội ngũ bảo mật cần nhanh chóng trả lời ba câu hỏi: Hệ thống nào đang sử dụng PHP? Phiên bản nào bị ảnh hưởng? Những hệ thống nào đã được khắc phục và có bằng chứng xác minh?
Khả năng trả lời nhanh các câu hỏi này giúp doanh nghiệp ưu tiên nguồn lực và giảm thời gian hệ thống phải đối mặt với rủi ro.
Khuyến cáo bảo mật khi ứng phó với PHP2Shell
- Để giảm thiểu nguy cơ từ các lỗ hổng PHP2Shell, doanh nghiệp nên triển khai các biện pháp sau:
- Kiểm kê các hệ thống sử dụng PHP. Rà soát website, ứng dụng web, máy chủ, container image và các sản phẩm bên thứ ba có tích hợp PHP. Ưu tiên các hệ thống công khai trên Internet.
- Xác định phiên bản và phạm vi ảnh hưởng. Đối chiếu phiên bản PHP đang sử dụng với thông báo bảo mật chính thức và hướng dẫn từ nhà cung cấp sản phẩm.
- Cập nhật bản vá phù hợp. Nâng cấp lên phiên bản đã khắc phục lỗ hổng hoặc triển khai gói cập nhật được nhà cung cấp hỗ trợ. Với hệ thống không thể cập nhật ngay, cần áp dụng biện pháp giảm thiểu rủi ro phù hợp và xây dựng kế hoạch khắc phục cụ thể.
- Kiểm tra dấu hiệu khai thác. Rà soát log máy chủ web, tiến trình bất thường, kết nối mạng đáng ngờ và các dấu hiệu truy cập trái phép. Nếu phát hiện dấu hiệu xâm nhập, doanh nghiệp cần kích hoạt quy trình ứng phó sự cố thay vì chỉ cập nhật phần mềm.
- Lưu lại bằng chứng khắc phục. Ghi nhận hệ thống bị ảnh hưởng, phiên bản trước và sau cập nhật, thời điểm triển khai, kết quả xác minh và các rủi ro còn tồn tại.
Trong quá trình ứng phó với lỗ hổng như PHP2Shell, việc hiểu rõ thành phần phần mềm đang được sử dụng là nền tảng cho hoạt động quản lý lỗ hổng hiệu quả. Black Duck Software Composition Analysis (SCA) hỗ trợ doanh nghiệp nhận diện và quản lý các thành phần mã nguồn mở trong ứng dụng, theo dõi thông tin lỗ hổng liên quan và cải thiện khả năng quan sát chuỗi cung ứng phần mềm. Black Duck SCA giúp xác định các thành phần phần mềm được phát hiện trong quá trình quét, hỗ trợ tạo Software Bill of Materials (SBOM) theo các định dạng như SPDX và CycloneDX. SBOM cung cấp danh mục thành phần để đội ngũ kỹ thuật đánh giá phạm vi ảnh hưởng khi có cảnh báo bảo mật mới. Khả năng nhận diện PHP cụ thể phụ thuộc vào phương pháp quét, cấu hình và loại dữ liệu đầu vào. Doanh nghiệp cần xác minh phạm vi phát hiện đối với môi trường triển khai thực tế, đặc biệt với runtime PHP và các thành phần được đóng gói trong sản phẩm của bên thứ ba.
Sự cố PHP2Shell cho thấy quản lý thành phần phần mềm cần được xem là một phần trong chiến lược bảo mật ứng dụng và chuỗi cung ứng phần mềm, thay vì chỉ được thực hiện khi có lỗ hổng nghiêm trọng xuất hiện. Thông qua giải pháp Black Duck SCA, ASIC Cybersecurity hỗ trợ doanh nghiệp nâng cao khả năng quan sát thành phần phần mềm, nhận diện rủi ro mã nguồn mở và xây dựng quy trình quản lý lỗ hổng có hệ thống hơn.
Liên hệ với ASIC Cybersecurity để tìm hiểu về Black Duck SCA và các giải pháp bảo mật ứng dụng phù hợp với nhu cầu của doanh nghiệp.
Câu hỏi thường gặp về PHP2Shell
- PHP2Shell có thể gây ra những rủi ro gì?
Trong điều kiện bị khai thác thành công, lỗ hổng có thể cho phép thực thi lệnh trên máy chủ, dẫn đến nguy cơ xâm nhập hệ thống, rò rỉ dữ liệu hoặc gián đoạn dịch vụ.
- Chỉ cập nhật WordPress hoặc plugin có đủ để xử lý PHP2Shell không?
Không nhất thiết. Doanh nghiệp cần kiểm tra môi trường PHP thực tế và áp dụng bản vá phù hợp cho thành phần bị ảnh hưởng.
- Black Duck SCA có tự động vá lỗ hổng PHP2Shell không?
Không. Black Duck SCA hỗ trợ nhận diện và theo dõi rủi ro thành phần phần mềm. Việc khắc phục cần được thực hiện bằng bản cập nhật PHP hoặc gói vá phù hợp từ nhà cung cấp.
- Doanh nghiệp nên ưu tiên làm gì khi xuất hiện cảnh báo PHP2Shell?
Trước tiên, kiểm kê các hệ thống sử dụng PHP, xác định phiên bản bị ảnh hưởng, ưu tiên hệ thống công khai trên Internet, triển khai bản vá và kiểm tra dấu hiệu khai thác.
