Công ty bảo mật của kỹ sư Việt phát hiện “lỗ hổng” trong PHP đe dọa 70% website toàn cầu

Ngày 21 tháng 10 năm 2026, nhóm phát triển PHP đã phát hành bản vá khẩn cấp cho hai lỗ hổng nghiêm trọng trong lõi ngôn ngữ lập trình vận hành khoảng 70% website toàn cầu. Hai lỗi được theo dõi dưới mã CVE-2026-109618 và CVE-2026-109619, gọi chung là PHP2Shell, đều cho phép kẻ tấn công chưa xác thực thực thi mã từ xa trên máy chủ chạy PHP, với điểm số CVSS 9.2, mức cao nhất trong nhiều năm qua đối với một lỗ hổng thuộc PHP core.

Mục lục

01

Một lỗ hổng ẩn trong PHP khiến 70% website toàn cầu có nguy cơ bị chiếm quyền

02

AI tìm ra lỗ hổng, Calif của kỹ sư Việt là một trong những đơn vị đầu tiên phát hiện

03

Bản vá phát hành gấp, nhiều chính phủ cho website tạm ngừng hoạt động

Một lỗ hổng ẩn trong PHP khiến 70% website toàn cầu có nguy cơ bị chiếm quyền

CVE-2026-109618 là lỗi hỏng bộ nhớ do tình trạng hết bộ nhớ xảy ra giữa chừng khi PHP phân tích yêu cầu tải tệp lên, được xác nhận có thể khai thác trên Apache mod_php với cấu hình mặc định. CVE-2026-109619 là lỗi use-after-free trên trạng thái toàn cục còn sót lại sau khi một yêu cầu kết thúc bất thường, được xác nhận trên cả mod_php và PHP-FPM. Mọi phiên bản PHP từ 5.4 trở đi đều bị ảnh hưởng bởi ít nhất một trong hai lỗi. Theo ông Thái Dương, vấn đề từng được chỉ ra từ nhiều thập kỷ trước nhưng bị cho là quá khó khai thác nên dần rơi vào quên lãng. Trên hệ thống nhỏ, cuộc tấn công hoàn tất trong vài giây; trên hệ thống phức tạp hơn, có thể mất vài giờ.

AI tìm ra lỗ hổng, Calif của kỹ sư Việt là một trong những đơn vị đầu tiên phát hiện

Lỗ hổng được phát hiện lần đầu bởi nhà nghiên cứu Ryan Austin của Calif, công ty bảo mật do kỹ sư người Việt Thái Dương điều hành, trong đợt kiểm tra mã nguồn PHP vào tháng 8 năm 2026 với sự hỗ trợ của mô hình GPT-5.6 Sol thuộc chương trình Patch the Planet do OpenAI tài trợ. Wiz, công ty bảo mật thuộc Google, cũng độc lập tìm ra cả hai lỗi bằng công cụ AI Atlas kết hợp với Gemini 4 Argon và GPT-5.6 Sol. Theo Wiz, các lỗi tồn tại từ hơn một thập kỷ, nhưng việc chứng minh khả năng khai thác đòi hỏi chuỗi bước cực kỳ phức tạp, nằm ở ranh giới của những gì nhà nghiên cứu con người có thể đạt được.

Calif do Thái Dương, kỹ sư sinh tại Thành phố Hồ Chí Minh từng có 12 năm làm việc tại Google, đồng tác giả phát hiện ba lỗ hổng BEAST, CRIME và POODLE, điều hành. Đội ngũ khoảng 60 người trải khắp năm châu lục, gồm nhiều tên tuổi kỳ cựu như Bruce Dang, Michał Zalewski và Tavis Ormandy. Đồng sáng lập An Trịnh từng nhận thưởng tối đa từ các chương trình săn lỗi của PayPal, Netflix và Walmart. Tại Việt Nam, Công ty TNHH Calif Việt Nam được thành lập tháng 6 năm 2024, có trụ sở tại Quận 1, Thành phố Hồ Chí Minh và văn phòng đại diện tại Hà Nội. Năm 2026, Calif liên tục xuất hiện trên báo chí quốc tế với các phát hiện về lỗ hổng trên macOS của Apple, lỗi rò rỉ bộ nhớ “Squidbleed”, kiểu tấn công từ chối dịch vụ “HTTP/2 Bomb” và nghiên cứu về sâu máy tính do AI xây dựng nhắm vào WeChat của Trung Quốc. Ami Luttwak của Wiz nhận định PHP2Shell là lỗ hổng nghiêm trọng nhất từng được trí tuệ nhân tạo phát hiện và có lẽ quá phức tạp để con người tự tìm ra.

Bản vá phát hành gấp, nhiều chính phủ cho website tạm ngừng hoạt động

Ngày 20 tháng 10, thông tin chi tiết về hai lỗ hổng bị rò rỉ trên Hacker News trước ngày công bố dự kiến 22 tháng 10, buộc nhóm phát triển PHP phát cảnh báo trước và đẩy nhanh tiến độ. Bản vá được tung ra lúc 14 giờ UTC ngày 21 tháng 10, sớm hơn kế hoạch một ngày, với các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Các bản vá nguồn tối thiểu cũng được cung cấp cho các nhánh 7.4, 8.0 và 8.1, nhưng chỉ là giải pháp tình thế.

Mạng lưới đánh lừa của ELLIO ghi nhận yêu cầu PHP2Shell đầu tiên lúc 08 giờ 36 phút UTC ngày 21 tháng 10, tức năm tiếng rưỡi trước khi bản vá được công bố. WatchTowr xác nhận các nỗ lực khai thác trong tự nhiên nhưng chưa quan sát thấy vụ xâm nhập thành công nào. Cloudflare cũng ghi nhận các cuộc tấn công sớm, với Giám đốc công nghệ Dane Knecht cho biết kẻ tấn công đã điều chỉnh tải trọng để né tránh các quy tắc tường lửa ứng dụng web của Cloudflare. Tính đến ngày 21 tháng 10, cả hai CVE vẫn chưa nằm trong danh mục lỗ hổng bị khai thác đã biết của CISA, và chưa có bằng chứng công khai về một vụ xâm nhập thành công quy mô lớn.

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ, Cục An ninh Quốc gia Hoa Kỳ, Trung tâm An ninh mạng Quốc gia Vương quốc Anh và Cơ quan Ứng cứu Khẩn cấp Máy tính Liên minh châu Âu đều đã phát khuyến cáo khẩn cấp, yêu cầu tổ chức cài đặt bản vá ngay lập tức hoặc đưa hệ thống bị ảnh hưởng xuống offline nếu không thể vá kịp thời. Hà Lan đã đưa cổng thông tin DigiD, MijnOverheid và các website quốc hội xuống offline; Phần Lan tạm ngừng nhiều dịch vụ công; Pháp đưa các website của Bộ Nội vụ vào chế độ bảo trì phòng ngừa; Đan Mạch và Úc cũng ghi nhận các website bị hạ xuống. Tại Nhật Bản, Thủ tướng Sanae Takaichi đã kêu gọi kiểm tra các website công sử dụng PHP và chuẩn bị áp dụng bản vá.

Nguồn: Dân trí