Tóm tắt
Một lỗ hổng nghiêm trọng vừa được phát hiện đe dọa nền tảng của vô số trang web và dịch vụ trực tuyến trên toàn cầu. PHP, ngôn ngữ lập trình được dùng rộng rãi cho từ blog, cổng tin đến cửa hàng trực tuyến và hệ quản trị nội dung như WordPress, bị ảnh hưởng trực tiếp.
Theo công ty an ninh CNTT Huntress, Đội Ứng cứu Khẩn cấp Liên bang về Sự cố Tin học (CERT) và nhóm bảo mật PHP, đây là tình trạng khẩn cấp đòi hỏi quản trị viên hành động nhanh. Tại Đức, hạn chót 16:00 phải cài bản vá; Chính quyền thành phố Dresden (Dresden) đã tạm ngừng website và các trang trực tuyến liên quan, có thể đến thứ Năm. Bệnh viện đại học Charité (Charité) ở Berlin cũng tắt website, khiến bệnh nhân chưa thể đặt lịch trực tuyến.
Khi chưa thể cài bản vá ngay, CERT khuyến nghị đưa website và ứng dụng xuống offline; một số trang đã làm theo. Lỗ hổng kép mang tên “PHP2Shell”, với mã CVE-2026-109618 và CVE-2026-109619, cho phép thực thi mã từ xa trên máy chủ, tạo điều kiện chiếm quyền điều khiển, truy cập dữ liệu nhạy cảm hoặc lợi dụng hạ tầng để thực hiện các cuộc tấn công khác. Do chi tiết kỹ thuật bị lộ sớm, toàn ngành CNTT ở vào thế chạy đua với thời gian, trước nguy cơ tin tặc dùng công cụ tự động quét và tấn công diện rộng các máy chủ chưa vá.
Tác động đã hiện hữu trong đời sống công cộng: nhiều đô thị, cơ quan, trường đại học và bệnh viện ở Đức đã rút dịch vụ trực tuyến khỏi mạng để phòng ngừa. Các nhà vận hành website, cửa hàng trực tuyến và nền tảng số được đặt trong mức cảnh báo cao nhất, được khuyến nghị liên hệ ngay quản trị hệ thống, nhà cung cấp dịch vụ IT hoặc nhà cung cấp hosting để hành động kịp thời.
Các bản cập nhật bảo mật dành cho môi trường PHP và các hệ thống liên quan được yêu cầu cài đặt không chậm trễ. Biện pháp này nhằm giảm thiểu rủi ro chiếm quyền điều khiển, đánh cắp dữ liệu khách hàng và ngăn ngừa việc hạ tầng bị lạm dụng làm bàn đạp cho các đợt tấn công khác.
Đối với người dùng Internet thông thường, không cần hành động trực tiếp trên điện thoại hay máy tính vì lỗ hổng nằm ở phía máy chủ. Tuy nhiên, người tiêu dùng có thể bị ảnh hưởng gián tiếp qua gián đoạn tạm thời dịch vụ trực tuyến hoặc rò rỉ dữ liệu nếu các website không được vá kịp thời.
Các nhà phát triển PHP và nhà cung cấp dịch vụ lưu trữ trên toàn cầu đang làm việc không ngừng để phát hành và phân phối bản vá. Giới chuyên gia nhấn mạnh đây không phải cập nhật định kỳ, mà là một trong những tình huống an ninh nghiêm trọng nhất trong nhiều năm gần đây.
Theo công ty an ninh CNTT Huntress, Đội Ứng cứu Khẩn cấp Liên bang về Sự cố Tin học (CERT) và nhóm bảo mật PHP, đây là tình trạng khẩn cấp đòi hỏi quản trị viên hành động nhanh. Tại Đức, hạn chót 16:00 phải cài bản vá; Chính quyền thành phố Dresden (Dresden) đã tạm ngừng website và các trang trực tuyến liên quan, có thể đến thứ Năm. Bệnh viện đại học Charité (Charité) ở Berlin cũng tắt website, khiến bệnh nhân chưa thể đặt lịch trực tuyến.
Khi chưa thể cài bản vá ngay, CERT khuyến nghị đưa website và ứng dụng xuống offline; một số trang đã làm theo. Lỗ hổng kép mang tên “PHP2Shell”, với mã CVE-2026-109618 và CVE-2026-109619, cho phép thực thi mã từ xa trên máy chủ, tạo điều kiện chiếm quyền điều khiển, truy cập dữ liệu nhạy cảm hoặc lợi dụng hạ tầng để thực hiện các cuộc tấn công khác. Do chi tiết kỹ thuật bị lộ sớm, toàn ngành CNTT ở vào thế chạy đua với thời gian, trước nguy cơ tin tặc dùng công cụ tự động quét và tấn công diện rộng các máy chủ chưa vá.
Tác động đã hiện hữu trong đời sống công cộng: nhiều đô thị, cơ quan, trường đại học và bệnh viện ở Đức đã rút dịch vụ trực tuyến khỏi mạng để phòng ngừa. Các nhà vận hành website, cửa hàng trực tuyến và nền tảng số được đặt trong mức cảnh báo cao nhất, được khuyến nghị liên hệ ngay quản trị hệ thống, nhà cung cấp dịch vụ IT hoặc nhà cung cấp hosting để hành động kịp thời.
Các bản cập nhật bảo mật dành cho môi trường PHP và các hệ thống liên quan được yêu cầu cài đặt không chậm trễ. Biện pháp này nhằm giảm thiểu rủi ro chiếm quyền điều khiển, đánh cắp dữ liệu khách hàng và ngăn ngừa việc hạ tầng bị lạm dụng làm bàn đạp cho các đợt tấn công khác.
Đối với người dùng Internet thông thường, không cần hành động trực tiếp trên điện thoại hay máy tính vì lỗ hổng nằm ở phía máy chủ. Tuy nhiên, người tiêu dùng có thể bị ảnh hưởng gián tiếp qua gián đoạn tạm thời dịch vụ trực tuyến hoặc rò rỉ dữ liệu nếu các website không được vá kịp thời.
Các nhà phát triển PHP và nhà cung cấp dịch vụ lưu trữ trên toàn cầu đang làm việc không ngừng để phát hành và phân phối bản vá. Giới chuyên gia nhấn mạnh đây không phải cập nhật định kỳ, mà là một trong những tình huống an ninh nghiêm trọng nhất trong nhiều năm gần đây.