Phát hiện lỗ hổng PHP mới; KISA khuyến nghị chặn tính năng theo dõi tải tệp lên

Chuyện gì đã xảy ra

KISA, viết tắt của Korea Internet & Security Agency, đã đăng một thông báo bảo mật vào ngày 24. Thông báo nói về một lỗi cho phép kẻ tấn công từ xa chạy mã trên máy chủ. Lỗi này có mã số CVE-2026-115560. Nó khác với hai lỗi nghiêm trọng khác của PHP được tìm thấy trước đó. KISA khuyên người dùng áp dụng các biện pháp tạm thời cho đến khi có bản sửa chính thức.

Các con số và sự kiện chính

• Lỗi mới: CVE-2026-115560.
• Hai lỗi cũ: CVE-2026-109618 và CVE-2026-109619.
• PHP đã phát hành bản cập nhật cho hai lỗi cũ vào ngày 21, gồm các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35.
• Bản cập nhật ngày 21 không sửa được lỗi mới.
• Chỉ máy chủ có một tổ hợp cài đặt cụ thể mới bị ảnh hưởng.

Lỗi nằm ở đâu

Lỗi xảy ra khi PHP xử lý phiên làm việc (session). Phiên làm việc ghi lại thông tin đăng nhập và các chi tiết khác của người dùng. Lỗi chỉ xuất hiện khi PHP lưu và đọc dữ liệu người dùng theo hai cách khác nhau, đồng thời tính năng theo dõi tiến trình tải file lên được bật. Nhà phát triển PHP cho rằng tổ hợp này khó xảy ra trong hệ thống thực tế. Vì vậy, họ sẽ sửa lỗi trong bản cập nhật định kỳ tiếp theo, thay vì phát hành bản khẩn cấp.

Cách giảm rủi ro ngay bây giờ

• Đặt 'session.upload_progress.enabled' thành 0 trong cài đặt PHP.
• Khởi động lại tất cả tiến trình xử lý PHP (worker).
• Nếu bạn đã làm bước này để xử lý lỗi PHP2Shell, không cần làm thêm gì cho lỗi này.
• Vẫn cài các bản cập nhật bảo mật mới nhất cho hai lỗi cũ.

Vì sao điều này quan trọng

Kẻ tấn công lợi dụng lỗi này có thể chiếm quyền điều khiển máy chủ, đánh cắp dữ liệu khách hàng, thay đổi nội dung website hoặc xâm nhập vào mạng nội bộ. Các công ty không tự quản lý PHP nên hỏi nhà cung cấp hosting hoặc nhà cung cấp phần mềm xem họ đã áp dụng các biện pháp bảo vệ này chưa.