Cơn chấn động mang tên PHP2Shell
Hai lỗ hổng mang mã CVE-2026-109618 và CVE-2026-109619, được gọi chung là PHP2Shell, bị chấm 9,2 trên thang điểm 10 về mức độ nghiêm trọng vì cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực. Thông tin chi tiết bị rò rỉ từ ngày 20/10, trước thời điểm công bố phối hợp, buộc nhóm bảo mật PHP phát hành bản vá ngày 21/10 cho các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35, kèm các bản vá tối giản cho PHP 7.4 đến 8.1.
Hệ quả lan rộng nhanh chóng. Trang web chính phủ ở nhiều nước châu Âu tạm ngừng hoạt động khi các nhà vận hành gấp rút vá lỗi, một số dịch vụ khác cũng chủ động đóng máy chủ để phòng ngừa. Ông Dane Knecht, Giám đốc công nghệ của Cloudflare, cho biết công ty đã phát hiện các đợt tấn công từ sớm và triển khai quy tắc tường lửa khẩn cấp, sau đó ghi nhận hàng triệu nỗ lực khai thác. Hãng an ninh mạng Huntress tóm gọn mức độ phổ biến của ngôn ngữ này:
PHP có mặt ở khắp mọi nơi.
Bà Elizabeth Barron cho biết quỹ chưa thấy bằng chứng tin tặc khai thác được lỗ hổng trước khi công bố, hay trên các hệ thống đã vá. PHP Foundation đang phối hợp chặt chẽ với OpenAI cùng các công ty an ninh mạng Wiz và Calif để điều tra và xử lý. Theo nhóm bảo mật PHP, rủi ro cao nhất thuộc về các máy chủ dùng mod_php của Apache, nơi mã khai thác có thể chạy trước cả mã ứng dụng.

















