Phát hiện lỗi thứ ba trong PHP2Shell, nhưng sẽ không có bản vá khẩn cấp

Chuyện gì đã xảy ra?

Sau hai lỗi PHP2Shell gây chú ý tuần này, các nhà nghiên cứu phát hiện lỗi thứ ba, mã CVE-2026-115560. Lỗi này cho phép kẻ tấn công chạy mã từ xa trên hệ thống dễ bị tấn công. Tuy nhiên, PHP Foundation (tổ chức quản lý PHP) cho biết sẽ không phát hành bản vá khẩn cấp. Thay vào đó, họ sẽ đưa bản sửa vào lần cập nhật thường kỳ tiếp theo và đăng hướng dẫn chi tiết lúc đó. Hiện tại, họ chỉ khuyên người dùng đổi một cài đặt để tự bảo vệ.

Những con số và sự kiện chính

• Lỗi mới có mã CVE-2026-115560. Đây là lỗi thứ ba trong nhóm PHP2Shell.
• Hai lỗi đầu tiên là CVE-2026-109618 và CVE-2026-109619. Chúng đã được công bố và vá hôm thứ Tư.
• PHP chạy trên khoảng 70% các website có dùng ngôn ngữ lập trình phía máy chủ đã biết.
• Tính đến thứ Sáu, chưa có vụ tấn công thành công nào được xác nhận công khai do PHP2Shell gây ra.

Tìm hiểu thêm

PHP là ngôn ngữ mã nguồn mở, chạy ở phía máy chủ để tạo ra nội dung cho website. Lỗi PHP2Shell liên quan đến lỗi an toàn bộ nhớ, tức là chương trình xử lý sai vùng nhớ máy tính. Kẻ xấu có thể lợi dụng lỗi này để chiếm quyền điều khiển. Theo PHP Foundation, lỗi thứ ba chỉ xảy ra khi có sự kết hợp rất hiếm giữa cấu hình và đoạn mã cụ thể, nên ít có khả năng bị khai thác trong thực tế.

Vì sao điều này quan trọng?

PHP được dùng rộng rãi nên một lỗi nhỏ cũng có thể ảnh hưởng đến rất nhiều website. Các chuyên gia an ninh cho biết đã thấy nhiều lần thử tấn công, và đã có nhiều đoạn mã thử nghiệm (PoC) lan truyền trên mạng. Mandiant, thuộc Google Cloud, cảnh báo rằng việc khai thác có thể đã bắt đầu ở mức nhỏ và mối đe dọa là rất nghiêm trọng. Vì vậy, quản trị viên website nên kiểm tra và cập nhật PHP ngay khi có thể.

Cần theo dõi điều gì?

• Bản cập nhật PHP tiếp theo, nơi bản vá cho CVE-2026-115560 sẽ được phát hành.
• Liệu có vụ tấn công thành công nào được xác nhận từ PHP2Shell hay không.
• Người quản trị website nên tắt tính năng theo dõi tải lên phiên (session.upload_progress.enabled=0) cho đến khi có bản vá.