Bản vá bảo mật PHP khẩn cấp: hai lỗ hổng RCE đang bị khai thác, cần nâng cấp ngay

PHP vừa phát hành bản vá bảo mật khẩn cấp cho toàn bộ nhánh PHP 8.x, sửa hai lỗ hổng thực thi mã từ xa (RCE) là CVE-2026-109618 và CVE-2026-109619. Theo Simon Willison dẫn bài của PHP Foundation, mã khai thác đã lưu hành từ đêm trước ngày phát hành do quy trình công bố phối hợp bị rò rỉ. Cả hai lỗi đều có điểm CVSS 9.2. Lỗi được nhóm Wiz Research phát hiện, và theo họ có thể khai thác không cần xác thực trên Drupal và WordPress. Vì vậy bất kỳ ai đang chạy ứng dụng PHP đều nên nâng cấp ngay.

Chi tiết

Theo bài của PHP Foundation, khoảng 15:00 UTC ngày 20/10, hai mã CVE bắt đầu lan truyền trên diễn đàn và mạng xã hội, kèm giờ phát hành sai và điểm CVSS sai là 10.0 (điểm thực là 9.2). Khi đó chưa có chi tiết kỹ thuật nào bị lộ. Dự án PHP phải đẩy thông báo trước lên 19:30 UTC và dời ngày phát hành từ 22/10 sang 21/10, lúc 14:00 UTC.

Sau thông báo sớm, Calif, một công ty bảo mật đã báo cáo lỗi, lỡ đăng một video quay cảnh proof of concept chạy trên nhiều mục tiêu. Video cho thấy thêm một vài chi tiết hạn chế về các lỗ hổng. Video đã bị xóa nhưng các bản sao vẫn lan trên mạng xã hội, góp phần thúc đẩy việc phát triển nhiều PoC và làm việc khai thác tăng mạnh trong ngày 21/10.

Dòng thời gian từ nhóm phát hiện cho biết Wiz Research tìm ra lỗ hổng đầu tiên vào 19/8/2026 bằng Wiz Atlas, Gemini 4 Argon và GPT-5.6 Sol. Ngày 20/8 họ xác nhận RCE không cần xác thực trên Drupal, ngày 21/8 trên WordPress. Họ báo cho đội bảo mật PHP ngày 24/8, PHP xác nhận và bắt đầu làm bản vá phối hợp ngày 21/9, rồi bản vá và công bố công khai cùng diễn ra ngày 21/10.

Một repo GitHub tên php2shell-poc, do tác giả Qi Deng đăng và có 1784 sao, mô tả hai lỗi này. CVE-2026-109618 liên quan đến hết bộ nhớ (OOM) khiến longjmp để engine Zend ở trạng thái không hợp lệ, còn CVE-2026-109619 là trạng thái toàn cục cũ tồn tại qua các request của FPM worker, dẫn đến UAF rồi RCE. Theo README, repo nêu 5 chuỗi RCE, ảnh hưởng PHP từ 5.4.0 đến 8.5.11, và có quy tắc phát hiện cho Suricata, Sigma, ModSecurity. README cũng nói bản vá là commit 3584a98 với 300 file thay đổi trong engine Zend; các con số về mức độ ảnh hưởng (như 78% website) là do tác giả repo nêu, chưa được nguồn khác xác nhận.

Điểm nổi bật

• Hai lỗ hổng RCE CVE-2026-109618 và CVE-2026-109619, cùng điểm CVSS 9.2
• Bản vá áp dụng cho toàn bộ nhánh PHP 8.x, phát hành ngày 21/10/2026
• Mã khai thác lưu hành từ trước do rò rỉ trong quy trình công bố phối hợp
• Wiz Research xác nhận RCE không cần xác thực trên Drupal và WordPress
• Repo PoC công khai kèm quy tắc phát hiện cho Suricata, Sigma và ModSecurity

Vì sao đáng chú ý

Nếu bạn vận hành website hay API chạy PHP, đặc biệt là WordPress, Drupal hay ứng dụng dùng FPM, hãy kiểm tra phiên bản và nâng cấp lên bản đã vá ngay vì mã khai thác đã công khai. Trong lúc chờ cập nhật, các quy tắc phát hiện cho Suricata, Sigma, ModSecurity có thể giúp giám sát dấu hiệu tấn công. Vụ việc cũng là bài học về rủi ro khi quy trình công bố lỗ hổng bị rò rỉ.

Thông tin nhanh

• Kho mã: ikow/php2shell-poc
• Số sao: 1.784 · Fork: 616
• Ngôn ngữ: Python · Giấy phép: MIT
• Chủ đề: cve-2026-109618, cve-2026-109619, detection-rules, exploit, php-exploit, php-security, php2shell, poc

Nguồn: Simon Willison · GitHub

---

Tin do AI tóm tắt từ nguồn công khai (RSS, GitHub); bấm link nguồn để đọc bài gốc.