PHP2Shell là gì ? Các cách khắc phục ?

PHP2Shell là tên gọi chung của hai lỗ hổng bảo mật nghiêm trọng trong lõi PHP (không phải lỗi của WordPress, plugin hay ứng dụng cụ thể).

Thông tin chính

• CVE: CVE-2026-109618 và CVE-2026-109619
• Mức độ: Critical (CVSS 9.2)
• Phát hiện: Tháng 8/2026 bởi các nhóm nghiên cứu (Calif/OpenAI, Wiz…), công bố và vá khẩn cấp ngày 21/10/2026.
• Ảnh hưởng: Hầu hết phiên bản PHP từ 5.4 đến trước các bản vá (ước tính ảnh hưởng rất lớn vì PHP chạy khoảng ~70% website).
• Nguy hiểm: Cho phép Remote Code Execution (RCE) không cần đăng nhập (unauthenticated). Kẻ tấn có thể chiếm quyền điều khiển server, đọc bộ nhớ (lộ password, token, API key…), cài webshell…
• Lỗ hổng nằm ở cách PHP xử lý bộ nhớ khi hết memory (OOM) hoặc lỗi fatal, dẫn đến corruption / use-after-free trước khi code ứng dụng chạy. Ngay cả trang “Hello World” đơn giản cũng có thể bị tấn công nếu PHP chưa vá.

Lưu ý: Đây không phải webshell (file độc hại do hacker upload), mà là lỗ hổng trong engine PHP khiến hacker có thể tạo ra shell.

Các phiên bản đã vá

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

Các phiên bản cũ hơn (8.1 trở xuống, PHP 7, PHP 5) không có bản vá chính thức từ PHP team → phải nâng cấp lên nhánh được hỗ trợ hoặc dùng bản backport từ nhà phân phối (Ubuntu, Remi, CloudLinux, cPanel…).

Cách khắc phục / phòng chống

1. Cập nhật PHP ngay lập tức (biện pháp quan trọng và duy nhất triệt để)
   • Kiểm tra phiên bản hiện tại: php -v hoặc tạo file info.php chứa .
   • Cập nhật lên một trong các phiên bản vá nêu trên, sau đó restart PHP-FPM / Apache / web server.
   • Nếu dùng shared hosting: liên hệ nhà cung cấp hỏi đã vá chưa (nhiều host đã đẩy bản vá).
2. Nếu không thể cập nhật ngay
   • Tạm thời giảm bề mặt tấn công (không thay thế được bản vá):
     • Tắt session.upload_progress.enabled (nếu không cần).
     • Giới hạn memory_limit, post_max_size, upload_max_filesize hợp lý.
     • Dùng WAF (Cloudflare, ModSecurity…) có rule chống exploit PHP2Shell.
   • Ưu tiên nâng cấp PHP càng sớm càng tốt.
3. Kiểm tra sau khi vá
   • Xác nhận phiên bản đã đúng.
   • Quét malware / webshell trên server (vì có thể đã bị tấn công trước khi vá).
   • Theo dõi log bất thường (request POST lớn, multipart lạ…).
4. Khuyến nghị dài hạn
   • Luôn giữ PHP ở phiên bản được hỗ trợ chính thức.
   • Bật tự động cập nhật bảo mật nếu có.
   • Dùng PHP-FPM thay vì mod_php khi có thể (rủi ro mod_php cao hơn).

Tóm lại: PHP2Shell là lỗ hổng RCE rất nghiêm trọng trong PHP core. Cách khắc phục chính và bắt buộc là cập nhật PHP lên bản đã vá (8.2.35 / 8.3.36 / 8.4.27 / 8.5.12) và restart dịch vụ. Nếu bạn đang quản lý server/website, hãy kiểm tra và cập nhật càng sớm càng tốt.