Cảnh báo lỗ hổng bảo mật PHP2Shell: Hướng dẫn kiểm tra và cập nhật PHP

Hai lỗ hổng bảo mật PHP2Shell có thể khiến máy chủ đối mặt với nguy cơ thực thi mã từ xa, ảnh hưởng đến dữ liệu và hoạt động của website. Nhân Hòa khuyến nghị khách hàng kiểm tra phiên bản PHP đang sử dụng, cập nhật bản vá phù hợp và triển khai các biện pháp bảo vệ cần thiết để giảm thiểu rủi ro bảo mật.

I. Cảnh báo hai lỗ hổng bảo mật PHP2Shell nghiêm trọng

Ngày 20/10/2026, PHP thông báo 2 lỗi bảo mật nghiêm trọng đã được phát hiện có tên gọi là PHP2Shell. Theo đó, các lỗ hổng có thể dẫn đến thực thi mã từ xa (RCE), gây nguy cơ truy cập trái phép và ảnh hưởng đến dữ liệu, dịch vụ.

Bao gồm:

Ngay sau đó, vào 21:00 ngày 21/10/2026 theo giờ Việt Nam, PHP đã công bố bản vá chính thức để khắc phục bộ đôi lỗ hổng này.

II. Hướng dẫn kiểm tra và cập nhật PHP

Đối với khách hàng sử dụng VPS, Cloud Server và Colo/Dedicated Server tự quản trị, Nhân Hòa khuyến nghị:

1. Kiểm tra và cập nhật PHP

• Xác định đúng phiên bản: Quý khách cần kiểm tra chính xác phiên bản PHP đang phục vụ trực tiếp cho từng website; không nên chỉ dựa vào phiên bản PHP CLI (lệnh php -v) vì môi trường dòng lệnh và môi trường web có thể sử dụng cấu hình khác nhau.  
• Cập nhật lên các phiên bản đã vá: Tiến hành nâng cấp lên các phiên bản an toàn bao gồm PHP 8.2.35, 8.3.36, 8.4.27, 8.5.12 (hoặc các phiên bản mới hơn trong cùng nhánh).
• Lưu ý với PHP cũ: Đối với các hệ thống đang chạy PHP 5.x, 7.x và các nhánh đã hết hỗ trợ, Quý khách cần kiểm tra các bản vá backport từ nhà cung cấp hệ điều hành/dịch vụ bảo trì mở rộng. Nếu không có bản vá, Quý khách cần lên kế hoạch nâng cấp mã nguồn hoặc môi trường lên phiên bản còn được hỗ trợ.

2. Giảm thiểu rủi ro tạm thời khi chưa thể cập nhật

Trong trường hợp chưa thể cập nhật, Quý khách hàng có thể thực hiện các biện pháp sau:

• Truy cập vào file php.ini của đúng phiên bản PHP đang chạy website và thiết lập:  session.upload_progress.enabled = Off

• Sau khi lưu cấu hình, khởi động lại dịch vụ liên quan (chú ý chọn lệnh phù hợp với distribution, OS):

+ sudo systemctl restart apache2   # Apache trên Ubuntu/Debian

+ sudo systemctl restart httpd     # Apache trên RHEL/CentOS

+ sudo systemctl restart php8.2-fpm # Ví dụ PHP-FPM 8.2

• Xác nhận thiết lập đã có hiệu lực trong môi trường PHP phục vụ website; kiểm tra hoạt động ứng dụng sau khi restart.
• Bật WAF/ModSecurity ở chế độ chặn, cập nhật ruleset mới nhất; nếu dùng Imunify360, kiểm tra ruleset 8.83 trở lên. Hạn chế truy cập quản trị, kiểm soát upload và theo dõi log bất thường.

LƯU Ý: Việc tắt session.upload_progress.enabled và sử dụng WAF chỉ là biện pháp giảm thiểu tạm thời, KHÔNG thay thế bản vá PHP và không bảo đảm chặn mọi cách khai thác.

3. Kiểm tra sau cập nhật

Sau khi cập nhật, Quý khách hàng hãy xác nhận gói PHP thực tế đã được nhà cung cấp vá thành công hai mã CVE trên, tiến hành khởi động lại dịch vụ, kiểm tra hiển thị website và rà soát nhật ký hệ thống.

Với các bản vá backport, số phiên bản PHP hiển thị có thể không thay đổi, do đó Quý khách hàng cần đối chiếu phiên bản gói và thông báo bảo mật của nhà cung cấp.

Nhân Hòa khuyến nghị Quý Khách hàng ưu tiên thực hiện sớm để bảo đảm an toàn hệ thống. Đối với máy chủ tự quản trị, Quý Khách hàng chủ động cập nhật và bảo mật; Nhân Hòa luôn sẵn sàng hỗ trợ kỹ thuật theo phạm vi dịch vụ.

Mọi thông tin chi tiết, Quý khách vui lòng liên hệ Zalo OA Nhân Hòa hoặc Hotline 1900 6680 để được hỗ trợ.

Thông tin tham khảo:

• https://php.net/releases/
• https://ubuntu.com/blog/php2shell-vulnerability-fixes-available
• https://blog.cloudlinux.com/php-cve-2026-109618-and-cve-2026-109619