PHP2Shell: Mức độ nghiêm trọng và cách xử lý cho website chạy PHP có bản vá và không có bản vá

1. Mức độ nghiêm trọng của PHP2Shell

PHP2Shell là tên gọi chung của hai lỗ hổng trong lõi PHP: CVE-2026-109618 và CVE-2026-109619. Cả hai cho phép kẻ tấn công thực thi mã từ xa (RCE) trên máy chủ mà không cần đăng nhập. Kẻ tấn công không cần biết mật khẩu hay tìm lỗi trong mã nguồn website, chỉ cần gửi yêu cầu độc hại tới máy chủ đang chạy phiên bản PHP chưa được vá.

PHP2Shell được các nhóm nghiên cứu bảo mật Calif và Wiz (thuộc Google) phát hiện độc lập với sự hỗ trợ của các mô hình AI từ OpenAI và Google DeepMind, rồi báo cho nhóm PHP trước khi công bố.

Các yếu tố khiến rủi ro ở mức rất cao

• Điểm CVSS khoảng 9.2/10: thuộc mức Critical, mức cao nhất trong thang đánh giá.
• Đã bị khai thác thực tế: các nỗ lực tấn công được ghi nhận ngay trong ngày công bố, một số xuất hiện trước cả thời điểm bản vá được phát hành. Công cụ khai thác đã bị rò rỉ công khai.
• Phạm vi ảnh hưởng cực rộng: PHP chạy khoảng 70% website toàn cầu. Lỗi nằm trong lõi PHP nên ảnh hưởng đồng thời WordPress, Joomla, Drupal, Magento, Laravel và mọi website viết bằng PHP, bất kể mã nguồn website có an toàn hay không.
• Tồn tại hơn một thập kỷ: gần như mọi phiên bản PHP phát hành trong khoảng 10 năm qua đều bị ảnh hưởng bởi ít nhất một trong hai lỗi.
• Không có biện pháp giảm thiểu hoàn chỉnh: các nhà phát triển PHP xác nhận không có giải pháp tạm thời nào chặn được toàn bộ cuộc tấn công. Bản vá chính thức là biện pháp phòng thủ lâu dài duy nhất.

Hậu quả nếu website bị khai thác

• Kẻ tấn công chiếm quyền điều khiển website, đọc toàn bộ cơ sở dữ liệu gồm thông tin khách hàng, đơn hàng và tài khoản.
• Chèn mã độc, trang lừa đảo hoặc quảng cáo trái phép, biến website thành công cụ tấn công người truy cập.
• Cài cửa hậu (backdoor) để duy trì quyền truy cập ngay cả khi lỗ hổng đã được vá.
• Website bị Google gắn cảnh báo, bị tạm ngưng dịch vụ hoặc bị mã hóa dữ liệu để tống tiền.

Hiện chưa có báo cáo công khai nào xác nhận một vụ xâm nhập quy mô lớn thành công được quy kết chắc chắn cho PHP2Shell. Tuy vậy, với lỗ hổng không cần xác thực, đã có công cụ khai thác lưu hành và đang bị quét tự động trên internet, mọi website chưa vá đều phải được coi là đang có rủi ro.

2. Phương án xử lý 

Việc xử lý phụ thuộc vào phiên bản PHP mà website đang chạy. Ngôi Sao Số sẽ chủ động thực hiện cho cả hai trường hợp:

Trường hợp 1: Website chạy PHP có bản vá (8.2 đến 8.5)

Bản vá chỉ sửa lỗi bảo mật trong cùng nhánh phiên bản, không thêm tính năng mới, nên rủi ro gây lỗi tương thích cho website rất thấp. Ngôi Sao Số chủ động thực hiện toàn bộ các bước sau, khách hàng không cần tự thao tác:

1. Rà soát: xác định phiên bản PHP đang chạy thực tế của từng website, đối chiếu với danh sách phiên bản đã vá.
2. Cập nhật bản vá: nâng PHP lên 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35 (hoặc mới hơn) tùy nhánh website đang sử dụng.
3. Khởi động lại dịch vụ: restart PHP-FPM hoặc Apache để bản vá thực sự có hiệu lực. Nếu bỏ qua bước này, tiến trình đang chạy vẫn dùng mã cũ chưa vá dù gói đã được cập nhật.
4. Xác nhận: kiểm tra lại phiên bản mà web server đang sử dụng thực tế, không chỉ phiên bản PHP dòng lệnh vì hai giá trị này có thể khác nhau.
5. Kiểm tra hoạt động: đảm bảo website vận hành bình thường sau khi cập nhật.
6. Giám sát: theo dõi nhật ký để phát hiện các yêu cầu bất thường nhắm vào lỗ hổng.

Trường hợp 2: Website chạy PHP không có bản vá (8.1 trở xuống)

Các nhánh PHP 8.1, 8.0, 7.4 và cũ hơn đã hết vòng đời hỗ trợ chính thức. Dự án PHP chỉ phát hành bản backport mã nguồn tối thiểu cho 7.4, 8.0 và 8.1, dành cho đơn vị tự biên dịch PHP từ mã nguồn hoặc đang dùng dịch vụ hỗ trợ mở rộng. Với website doanh nghiệp thông thường, đây không phải hướng đi bền vững.

Cần lưu ý: website chạy PHP hết hỗ trợ không chỉ gặp rủi ro từ PHP2Shell. Mọi lỗ hổng được phát hiện trong tương lai đều sẽ không được vá cho các nhánh này, nên rủi ro tích lũy ngày càng lớn. Vì vậy, giải pháp duy nhất là nâng cấp website để chạy trên nhánh PHP còn được hỗ trợ.

Nâng cấp PHP không đơn thuần là đổi một tùy chọn trong trang quản trị. Mã nguồn website, bao gồm CMS, giao diện, plugin và mã tùy biến, phải tương thích với phiên bản PHP mới, nếu không website có thể hiển thị lỗi hoặc ngừng hoạt động.

Ngôi Sao Số sẽ chủ động liên hệ từng khách hàng thuộc trường hợp này để:

• Thông báo tình trạng phiên bản PHP và mức độ rủi ro của website.
• Đánh giá mức độ tương thích của CMS, giao diện, plugin và mã tùy biến với phiên bản PHP đích.
• Đề xuất phương án nâng cấp phù hợp với hiện trạng website.
• Gửi báo giá chi tiết để khách hàng xem xét và quyết định.

Quy trình nâng cấp dự kiến

1. Sao lưu toàn bộ website (mã nguồn và cơ sở dữ liệu) trước khi thực hiện.
2. Đánh giá tương thích: rà soát phiên bản CMS, danh sách plugin, giao diện và mã tùy biến.
3. Dựng môi trường thử nghiệm (staging): chạy bản sao website trên PHP mới để kiểm thử mà không ảnh hưởng website đang vận hành.
4. Nâng cấp và chỉnh sửa: cập nhật CMS, giao diện, plugin; thay thế các thành phần đã ngừng phát triển; chỉnh sửa mã tùy biến sử dụng các hàm đã bị loại bỏ.
5. Kiểm thử toàn diện: trang chủ, đăng nhập, biểu mẫu, tìm kiếm, giỏ hàng, thanh toán, gửi email, tác vụ định kỳ và các tích hợp bên thứ ba.
6. Chuyển sang vận hành thật: thực hiện vào thời điểm ít truy cập, sau đó theo dõi nhật ký lỗi trong những ngày đầu.

Những tình huống thường gặp khi nâng cấp

• CMS quá cũ: các phiên bản CMS đời cũ không chạy được trên PHP mới, cần nâng cấp CMS hoặc chuyển đổi sang nền tảng khác.
• Plugin/giao diện ngừng phát triển: cần thay bằng giải pháp tương đương còn được bảo trì.
• Website viết tay (mã tùy biến): thường phát sinh nhiều chỉnh sửa nhất, cần lập trình viên rà soát và cập nhật mã nguồn.

Chi phí và thời gian nâng cấp phụ thuộc vào mức độ cũ của mã nguồn. Việc trì hoãn chỉ làm khoảng cách phiên bản ngày càng lớn và chi phí nâng cấp ngày càng cao.

Trong thời gian chờ nâng cấp, Ngôi Sao Số sẽ tư vấn các biện pháp giảm thiểu rủi ro tạm thời phù hợp với từng website. Các biện pháp này chỉ mang tính cầu nối, không thay thế được việc nâng cấp.

3. Dấu hiệu website có thể đã bị khai thác

Quý khách vui lòng liên hệ Ngôi Sao Số ngay nếu nhận thấy một trong các dấu hiệu sau:

• Website tự chuyển hướng sang trang khác, hiển thị quảng cáo hoặc nội dung lạ không do quý khách đăng.
• Xuất hiện tài khoản quản trị lạ trong trang quản trị.
• Website chậm bất thường hoặc gặp nhiều lỗi 500 liên tiếp không rõ nguyên nhân.
• Có tệp .php lạ trong thư mục tải lên.
• Google cảnh báo website không an toàn hoặc bị chèn mã độc.

Nếu website đã bị xâm nhập, việc cập nhật bản vá là chưa đủ vì kẻ tấn công có thể đã cài cửa hậu từ trước. Khi đó cần loại bỏ mã độc, đổi toàn bộ mật khẩu và khóa truy cập, đồng thời khôi phục từ bản sao lưu sạch nếu cần.

4. Liên hệ hỗ trợ

Quý khách có thắc mắc về phiên bản PHP của website, tiến độ cập nhật hoặc phương án nâng cấp, vui lòng liên hệ bộ phận kỹ thuật Ngôi Sao Số:

• Hotline: 0989.126.351
• Email: xinchao@ngoisaoso.vn

Kết luận

PHP2Shell là lỗ hổng ở mức nghiêm trọng nhất, đang bị khai thác thực tế và ảnh hưởng đến gần như mọi website PHP. Với website chạy PHP 8.2 trở lên, Ngôi Sao Số sẽ chủ động cập nhật bản vá và khởi động lại dịch vụ để đóng lỗ hổng. Với website chạy PHP 8.1 trở xuống, không có đường tắt: website cần phải được nâng cấp để chạy trên nhánh PHP còn được hỗ trợ.