Lỗ hổng PHP2Shell: Hai lỗi RCE nghiêm trọng trong PHP

Lỗ hổng PHP2Shell đang thu hút sự chú ý của cộng đồng an ninh mạng sau khi xuất hiện thông tin về hai lỗ hổng thực thi mã từ xa (Remote Code Execution – RCE) nghiêm trọng trong PHP. Theo thông tin được công bố ban đầu, hai lỗ hổng được đánh giá 9,2 điểm theo thang CVSS v4.0, khiến việc rà soát và cập nhật bảo mật trở thành ưu tiên đối với quản trị viên máy chủ. Hãy cùng Zhost tìm hiểu về độ nguy hiểm của lỗ hổng PHP2Shell

1. PHP2Shell là gì?

PHP2Shell là tên gọi được các nhà nghiên cứu bảo mật sử dụng để đề cập đến hai lỗ hổng RCE được công bố thông tin vào tháng 10/2026. Đây không phải tên gọi chính thức do nhóm phát triển PHP đặt ra.

Theo thông tin được công bố trước thời điểm phát hành bản vá, hai lỗ hổng được đánh giá ở mức nghiêm trọng, với điểm CVSS v4.0 là 9,2. Tuy nhiên, tại thời điểm bài báo ban đầu được đăng, thông tin chi tiết về thành phần bị ảnh hưởng, điều kiện khai thác và phạm vi phiên bản PHP vẫn chưa được xác nhận đầy đủ.

Remote Code Execution (RCE) là dạng lỗ hổng cho phép kẻ tấn công thực thi mã từ xa trên hệ thống mục tiêu khi đáp ứng được các điều kiện khai thác. Tùy thuộc vào quyền của tiến trình bị xâm nhập và cấu hình máy chủ, sự cố có thể dẫn đến truy cập trái phép, đánh cắp dữ liệu hoặc tiếp tục xâm nhập các thành phần khác của hệ thống.

Đối với các máy chủ chạy PHP, rủi ro cần được đánh giá dựa trên phiên bản runtime, cấu hình thực tế, khả năng truy cập từ Internet và các biện pháp bảo vệ đang được triển khai.

2. Mức độ nghiêm trọng của lỗ hổng PHP2Shell

Điểm CVSS 9,2/10 theo phiên bản 4.0 cho thấy các lỗ hổng được đánh giá ở mức nghiêm trọng cao. Đây là cơ sở để quản trị viên ưu tiên kiểm tra hệ thống và chuẩn bị cập nhật khi bản vá phù hợp được cung cấp.

Các rủi ro tiềm tàng của một lỗ hổng RCE trong môi trường PHP bao gồm:

• Thực thi mã trái phép: Kẻ tấn công có thể thực thi mã trên máy chủ nếu khai thác thành công lỗ hổng.
• Nguy cơ rò rỉ dữ liệu: Dữ liệu website, thông tin người dùng, cấu hình ứng dụng hoặc thông tin kết nối cơ sở dữ liệu có thể gặp rủi ro.
• Ảnh hưởng đến hoạt động website: Máy chủ bị xâm nhập có thể bị sử dụng để phát tán mã độc, thay đổi nội dung hoặc làm gián đoạn dịch vụ.
• Nguy cơ mở rộng phạm vi xâm nhập: Nếu máy chủ có quyền truy cập đến các hệ thống khác trong mạng nội bộ, sự cố có thể ảnh hưởng đến nhiều thành phần hơn.

Các khả năng trên là rủi ro chung của lỗ hổng RCE, không đồng nghĩa mọi hệ thống sử dụng PHP đều chắc chắn bị ảnh hưởng bởi PHP2Shell.

3. Những phiên bản PHP nào cần được kiểm tra?

Theo thông tin được đăng tải trước thời điểm phát hành bản vá, các nhánh PHP còn được hỗ trợ là PHP 8.2, 8.3, 8.4 và 8.5. Đây là những nhánh có thể nhận bản sửa lỗi từ dự án PHP theo chính sách hỗ trợ tại thời điểm đó.

Các phiên bản PHP cũ hơn, bao gồm PHP 8.1, PHP 8.0, PHP 7.x và PHP 5.x, đã hết vòng đời hỗ trợ chính thức. Nếu các phiên bản này bị ảnh hưởng, người quản trị có thể không nhận được bản vá trực tiếp từ dự án PHP.

Cần phân biệt giữa phiên bản có thể nhận bản vá và phiên bản được xác nhận bị ảnh hưởng. Danh sách phiên bản thực sự bị ảnh hưởng và các phiên bản đã sửa lỗi phải được đối chiếu với thông báo bảo mật chính thức.

Cách kiểm tra phiên bản PHP trên máy chủ Linux

• Đăng nhập SSH và chạy lệnh:

php -v

Lệnh này hiển thị phiên bản PHP CLI đang được sử dụng.

• Nếu máy chủ chạy PHP-FPM, có thể kiểm tra các dịch vụ đang hoạt động bằng:

systemctl list-units --type=service --all | grep -i php

Trên máy chủ sử dụng nhiều phiên bản PHP hoặc control panel như cPanel, Plesk và DirectAdmin, cần kiểm tra riêng phiên bản PHP của từng website. Phiên bản CLI có thể khác với phiên bản PHP mà website đang sử dụng.

Ngoài ra, cần kiểm tra các phiên bản PHP chạy trong container Docker, ứng dụng Windows hoặc phần mềm đóng gói sẵn có tích hợp PHP.

4. 6 biện pháp bảo vệ máy chủ trước nguy cơ PHP RCE

Trong thời gian rà soát và triển khai bản cập nhật, quản trị viên nên thực hiện các biện pháp dưới đây để giảm thiểu nguy cơ.

4.1. Rà soát toàn bộ hệ thống đang chạy PHP

Lập danh sách các máy chủ và website sử dụng PHP, bao gồm website WordPress, Laravel, ứng dụng PHP tùy chỉnh và các dịch vụ chạy trên nền tảng hosting.

Thông tin cần ghi nhận gồm phiên bản PHP, hệ điều hành, loại web server, phương thức chạy PHP và khả năng truy cập từ Internet.

4.2. Chuẩn bị cập nhật bản vá bảo mật

Theo dõi thông báo từ dự án PHP, nhà cung cấp hệ điều hành và nhà cung cấp hosting. Khi bản vá phù hợp được phát hành, cần xác minh phiên bản đích và kế hoạch triển khai trước khi cập nhật.

Đối với hệ thống đang phục vụ người dùng, nên sao lưu dữ liệu cần thiết, kiểm tra tính tương thích của ứng dụng và chuẩn bị phương án khôi phục nếu xảy ra lỗi.

4.3. Ưu tiên các máy chủ có thể truy cập từ Internet

Các website công khai và máy chủ hosting cần được rà soát ưu tiên vì có bề mặt tấn công tiếp xúc trực tiếp với Internet.

Nếu chưa thể cập nhật ngay, hãy đánh giá khả năng hạn chế truy cập, cô lập dịch vụ hoặc đưa ứng dụng sau lớp kiểm soát truy cập phù hợp. Không nên coi WAF hoặc firewall là phương án thay thế hoàn toàn cho bản vá.

4.4. Xem xét nâng cấp các phiên bản PHP đã hết hỗ trợ

Nếu hệ thống vẫn chạy PHP 7.x, PHP 8.0 hoặc PHP 8.1, quản trị viên nên lập kế hoạch nâng cấp lên nhánh PHP còn được hỗ trợ và tương thích với ứng dụng.

Trong trường hợp chưa thể nâng cấp do phụ thuộc phần mềm cũ, cần đánh giá rủi ro, giới hạn quyền truy cập và làm việc với nhà cung cấp để xác định khả năng có bản vá bảo mật được hỗ trợ riêng.

4.5. Tăng cường giám sát tiến trình và nhật ký hệ thống

Quản trị viên nên theo dõi các tiến trình PHP như php-fpm và php-cgi, đồng thời kiểm tra các tiến trình con bất thường được khởi chạy từ web server hoặc ứng dụng PHP.

Cần chú ý đến những dấu hiệu như:

• Tiến trình shell được khởi chạy bất thường từ dịch vụ web.
• Tệp mới hoặc tệp thực thi không rõ nguồn gốc xuất hiện trong thư mục website.
• Tác vụ cron hoặc tác vụ được lên lịch không rõ nguồn gốc.
• Tài khoản mới, thay đổi quyền hoặc hoạt động truy cập bất thường.
• Lưu lượng mạng đi ra không phù hợp với chức năng của ứng dụng.

Các dấu hiệu này không tự động chứng minh máy chủ đã bị khai thác, nhưng cần được kiểm tra và đối chiếu với nhật ký liên quan.

4.6. Cô lập và điều tra khi phát hiện dấu hiệu xâm nhập

Nếu có bằng chứng đáng ngờ, hãy áp dụng quy trình ứng phó sự cố phù hợp. Tùy tình huống, có thể cô lập máy chủ khỏi mạng, bảo toàn nhật ký và bằng chứng, kiểm tra tệp bị thay đổi, rà soát tài khoản và đánh giá phạm vi ảnh hưởng.

Không nên chỉ xóa tệp đáng ngờ rồi đưa máy chủ hoạt động trở lại khi chưa xác định được nguyên nhân và mức độ xâm nhập.

5. Đã ghi nhận hoạt động khai thác PHP2Shell chưa?

Trong bài viết ban đầu ngày 21/10/2026, chưa ghi nhận hoạt động khai thác các lỗ hổng trong môi trường của các đối tác tính đến ngày 20/10. Các nhà nghiên cứu cũng chưa xác nhận mã khai thác công khai hoạt động thành công tại thời điểm được đề cập.

Tuy nhiên, trạng thái này chỉ phản ánh thông tin tại thời điểm báo cáo. Việc chưa có báo cáo khai thác không đồng nghĩa lỗ hổng không có nguy cơ bị tấn công.

Khi thông tin kỹ thuật và bản vá được công bố, các tổ chức cần tiếp tục theo dõi thông báo bảo mật, cập nhật hệ thống và rà soát nhật ký để xác định liệu có hoạt động đáng ngờ xảy ra trước khi vá hay không.

6. Quản trị viên cần làm gì ngay lúc này?

Để chủ động bảo vệ website và máy chủ, quản trị viên nên thực hiện các công việc sau:

1. Kiểm tra phiên bản PHP đang chạy trên tất cả website và máy chủ.
2. Đối chiếu phiên bản với thông báo bảo mật chính thức của PHP.
3. Xác định các hệ thống đã hết vòng đời hỗ trợ hoặc chưa có bản vá phù hợp.
4. Chuẩn bị kế hoạch cập nhật và kiểm thử ứng dụng.
5. Tăng cường giám sát tiến trình, nhật ký và các dấu hiệu truy cập bất thường.
6. Kiểm tra lại tình trạng bảo mật sau khi cập nhật.

Thông tin chính thức về phiên bản PHP và các bản phát hành bảo mật có thể được theo dõi tại trang chủ PHP: https://www.php.net/ và kho thông báo bảo mật của dự án.

Kết luận

PHP2Shell là cảnh báo bảo mật đáng chú ý đối với các tổ chức vận hành website và ứng dụng dựa trên PHP. Với mức đánh giá CVSS 9,2 theo thông tin ban đầu, quản trị viên nên ưu tiên rà soát phiên bản PHP, chuẩn bị cập nhật bảo mật và tăng cường giám sát hệ thống.

Đặc biệt, các máy chủ đang sử dụng phiên bản PHP đã hết hỗ trợ cần được đánh giá rủi ro và có kế hoạch nâng cấp phù hợp. Việc chủ động kiểm kê, cập nhật và giám sát sẽ giúp giảm thiểu nguy cơ từ các lỗ hổng bảo mật và hạn chế tác động đến hoạt động của website.