Mô tả: Giải thích dễ hiểu về PHP, xác thực, tấn công máy chủ, cách kiểm tra phiên bản và ưu tiên cập nhật.
Đến giờ hẹn, Internet có sập không?
Ngày 21/10/2026 lúc 14:00 UTC (21:00 giờ Việt Nam) không phải giờ Internet nổ tung mà là thời điểm dự kiến PHP công bố bản vá. Bản vá đã chính thức được phát hành. Người quản trị giờ cần cài đặt và kiểm tra phiên bản PHP thực sự đang chạy.
Chỉ cập nhật WordPress hay đổi mật khẩu quản trị không thay thế việc vá PHP trên máy chủ. Người dùng bình thường nên cảnh giác với các email giả mạo yêu cầu xác minh khẩn cấp.
PHP làm gì? Hãy tưởng tượng phía sau một cửa hàng
PHP là ngôn ngữ lập trình chạy trên máy chủ web. Khi khách nhấn Mua, chương trình có thể kiểm tra trạng thái đăng nhập, hỏi giá và tồn kho, ghi đơn hàng rồi trả kết quả về màn hình. WordPress, cửa hàng trực tuyến và cổng thông tin nội bộ đều có thể dùng PHP. Thanh toán đôi khi do dịch vụ khác xử lý. PHP giống nhân viên hậu trường.
Bấm F12 có thấy mã PHP không?
Công cụ dành cho nhà phát triển cho thấy HTML (cấu trúc), CSS (giao diện) và JavaScript (tương tác). PHP chạy trên máy chủ trước khi trình duyệt nhận kết quả. Ta thấy món ăn chứ không thấy công thức trong bếp.
Trong Chrome: F12 → Network → tải lại → chọn yêu cầu tài liệu chính → Headers. Dòng X-Powered-By: PHP/... hoặc địa chỉ kết thúc bằng .php có thể là dấu hiệu, nhưng chúng có thể bị ẩn. Không thể dùng F12 để kết luận máy chủ có lỗ hổng hay không.
| Công nghệ | Công việc |
|---|---|
| HTML / CSS | Cấu trúc / hình thức trang |
| JavaScript | Tương tác trong trình duyệt và cả máy chủ |
| PHP | Xử lý đăng nhập, dữ liệu, ghi nhận trên máy chủ |
| Python / Java / Go | Ngôn ngữ khác để xây dựng ứng dụng máy chủ |
| SQL | Truy vấn và sửa dữ liệu trong cơ sở dữ liệu |
| P2P | Cách các thiết bị kết nối trực tiếp, không phải ngôn ngữ |
PHP có thể dùng SQL để truy vấn dữ liệu; SQL không thay thế trực tiếp PHP.
PHP đã xác nhận điều gì?
Theo thông báo chính thức đến ngày 22/10/2026: PHP đã phát hành bản sửa cho hai lỗ hổng, mỗi lỗ hổng đạt 9,2/10 theo CVSS v4.0. Đây là điểm mức độ nghiêm trọng, không phải xác suất bị tấn công 92%.
| Nhánh PHP | Phiên bản đã sửa |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
CVE-2026-109618 liên quan đến lỗi xử lý khi hết bộ nhớ. CVE-2026-109619 liên quan đến trạng thái nội bộ còn sót lại giữa các yêu cầu. Trong những điều kiện nhất định, cả hai có thể cho phép chạy mã từ xa mà không cần đăng nhập. Trên Apache mod_php, đã có minh chứng tấn công trước cả khi mã của ứng dụng bắt đầu hoạt động. PHP-FPM và các môi trường khác cũng cần cập nhật.
PHP 8.1 trở về trước không còn được dự án PHP hỗ trợ thông thường. Một số nhà cung cấp hệ điều hành và dịch vụ hỗ trợ dài hạn vẫn có thể chuyển bản vá sang gói cũ; dự án cũng phát hành bản vá mã nguồn ngoại lệ cho 7.4, 8.0 và 8.1. Hãy đối chiếu thông báo của nhà cung cấp thay vì chỉ dựa vào số phiên bản. PHP 8.2 hết hỗ trợ ngày 31/12/2026.
Điểm đáng chú ý: dấu hiệu của lỗ hổng đầu tiên đã xuất hiện từ năm 2024. PHP Foundation thừa nhận quá trình sửa chậm do khó khăn kỹ thuật và hạn chế nhân lực. Minh chứng tấn công hoạt động không đồng nghĩa mọi trang web đã bị xâm nhập. Khi công bố, Foundation chưa tìm thấy mã khai thác thực sự hoạt động trong số các bản thử nghiệm đang lan truyền; nguy cơ sau đó vẫn tồn tại.
Vượt qua đăng nhập khác với điều khiển mã trên máy chủ
Vượt qua đăng nhập là đánh lừa bước xác thực. Thực thi mã từ xa (RCE) là khiến máy chủ chạy lệnh trái phép. PHP hiện xác nhận hai lỗ hổng có thể dẫn đến RCE không cần xác thực trong điều kiện cụ thể.
Trên Apache mod_php, lỗ hổng đầu tiên đã được chứng minh có thể bị khai thác trước khi ứng dụng chạy. PHP-FPM có các đường khai thác phụ thuộc ứng dụng. Phạm vi thiệt hại phụ thuộc quyền của tiến trình PHP, cơ sở dữ liệu và kết nối mạng, chứ không mặc nhiên là mọi trang web đã rò rỉ dữ liệu.
Bảng ưu tiên: web công khai hay mạng nội bộ?
| Trạng thái | Mức ưu tiên | Lý do và xử lý |
|---|---|---|
| Công khai + chưa vá + nhiều dữ liệu cá nhân | Cao nhất | Có thể truy cập từ bên ngoài, hậu quả lớn: vá, hạn chế truy cập, lưu nhật ký |
| Công khai + chưa vá + kết nối dữ liệu nội bộ | Cao nhất | Trang công khai có thể là đường vào nội bộ: giới hạn quyền và cập nhật |
| Công khai + chưa vá + ít dữ liệu nhạy cảm | Cao | Vẫn có nguy cơ sửa nội dung, làm bàn đạp: cập nhật nhanh |
| Chỉ trong mạng công ty + chưa vá + dữ liệu quan trọng | Cao | Máy nội bộ nhiễm mã độc hoặc VPN có thể tạo đường vào: vá, rà soát |
| Chỉ nội bộ + chưa vá + ít dữ liệu | Trung bình đến cao | Có thể lan sang hệ thống khác: cách ly và cập nhật |
| Đã vá + dữ liệu quan trọng | Tiếp tục điều tra | Kẻ xấu có thể vào trước khi vá |
| Xác nhận không dùng PHP | Không ảnh hưởng trực tiếp | Kiểm tra công cụ quản trị liên quan |
Mức độ mở ra Internet, quyền của PHP, dữ liệu quan trọng và kết nối đến máy chủ khác càng chồng lên nhau thì càng cần xử lý gấp.
Làm sao kiểm tra máy chủ của mình?
Theo thứ tự: PHP chạy ở đâu → phiên bản thực sự phục vụ web → phiên bản bị ảnh hưởng theo thông báo chính thức → bản vá đã được cài hay chưa.
WordPress: Tools → Site Health → Info → Server. Cập nhật WordPress hay tiện ích không đồng nghĩa cập nhật PHP. Với dịch vụ lưu trữ, hãy xem thông báo của nhà cung cấp. Trên máy chủ riêng, php -v chỉ hiển thị phiên bản dòng lệnh, có thể khác bản chạy web; cần kiểm tra PHP-FPM, container và gói hệ điều hành. Không thử tấn công máy chủ mà mình không quản lý.
Chỉ cập nhật WordPress là đủ?
PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 đã phát hành. Cần cập nhật PHP trên máy chủ, không chỉ WordPress.
Cập nhật WordPress hoặc plugin chưa chắc đã cập nhật PHP trên máy chủ. Trong trang quản trị, mở Tools → Site Health → Info → Server để xem phiên bản PHP. Với hosting, hãy đọc thông báo chính thức của nhà cung cấp. Với máy chủ tự quản, hãy kiểm kê nơi dùng PHP, sao lưu dữ liệu, chuẩn bị cách khôi phục và phân công trách nhiệm.
Bản vá đã xuất hiện. Bây giờ hãy đối chiếu phiên bản bị ảnh hưởng, thực hiện theo hướng dẫn chính thức rồi kiểm tra đăng nhập, đăng bài và biểu mẫu. Thay đổi tùy tiện trên máy chủ đang chạy giống như đem website ra đánh cược.
Cần làm gì trước và sau khi vá?
PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 đã phát hành. Cần cập nhật PHP trên máy chủ, không chỉ WordPress.
Lập danh sách máy chủ PHP, người chịu trách nhiệm và các bản sao lưu có thể khôi phục. Bản sửa chính thức đã xuất hiện; giờ hãy làm theo hướng dẫn của PHP hoặc nhà cung cấp, cập nhật môi trường đang phục vụ trang web, khởi động lại nếu cần. Kiểm tra đăng nhập, đăng bài, biểu mẫu, đơn hàng và tích hợp.
Nếu chưa thể cập nhật, hạn chế truy cập từ bên ngoài, giảm quyền cơ sở dữ liệu và dùng tường lửa web làm lớp bảo vệ thêm. Chỉ đổi một cài đặt tải tệp lên không bảo đảm xử lý cả hai lỗi. Với nguy cơ thiệt hại lớn, có thể cần tạm dừng hoặc cô lập dịch vụ.
Nếu nghi đã bị xâm nhập, giữ nhật ký và chứng cứ, kiểm tra tài khoản, tệp và kết nối bất thường cùng chuyên gia. Sửa khóa không tự đem danh sách khách hàng đã bị lấy cắp trở về. AI có thể giúp quét mục tiêu nhanh, nhưng cảnh báo không có nghĩa mọi website đã lộ dữ liệu.
Website không chạy PHP thì sao?
Website tĩnh hoặc ứng dụng JavaScript/TypeScript hoàn toàn không chạy PHP không bị tác động trực tiếp bởi lỗi nằm trong PHP. Tuy nhiên công cụ quản trị khác, nhà cung cấp dịch vụ và thiết bị có thể dùng PHP. Việc dùng Cloudflare không chứng minh máy chủ gốc đã được vá.
Hãy trả lời ba câu hỏi: PHP chạy ở đâu? Ai cập nhật? Sau đó kiểm tra bằng cách nào?
Người dùng bình thường cần làm gì?
Bạn không thể vá máy chủ của người khác. Nếu nhận email “xác minh bảo mật khẩn cấp”, hãy tự mở ứng dụng hoặc website chính thức thay vì nhấn vào đường dẫn lạ.
Hỏi nhanh đáp gọn
Đổi PHP sang Python có an toàn ngay không? Viết lại toàn bộ không phải bước ưu tiên; hãy áp dụng bản vá PHP phù hợp.
Ai cũng phải đổi mật khẩu? Không chỉ vì thông báo này. Nếu có thông báo rò rỉ thật, hãy vào trang chính thức kiểm tra.
Có Cloudflare là đã vá? Không. Bộ lọc mạng không chứng minh PHP ở máy chủ gốc đã cập nhật.
9,2 nghĩa là 92% khả năng bị tấn công? Không, đó là điểm mức độ nghiêm trọng.
Internet sẽ nổ lúc 21:00?
Giờ đã hẹn không phải giờ Internet phát nổ mà là giờ linh kiện sửa chữa được giao tới. Linh kiện đã có: hãy kiểm tra PHP thực sự phục vụ trang web, cập nhật, thử lại chức năng và điều tra dấu vết tấn công nếu cần. Chỉ cập nhật WordPress cũng giống sơn lại bảng hiệu mà bỏ quên ổ khóa hỏng. Cập nhật đến 22/10/2026, 01:26 JST.
Tài liệu tham khảo (12)
PHP Security Team, 2026-10-20: https://www.php.net/archive/2026.php#2026-10-20-1
IPA, 2026-10-21: https://www.ipa.go.jp/security/security-alert/2026/pre-alert20261021.html
WordPress documentation: https://wordpress.org/documentation/article/site-health-screen/
Cloudflare Workers languages: https://developers.cloudflare.com/workers/languages/
PHP manual, basic web execution: https://www.php.net/manual/en/tutorial.firstpage.php
Chrome DevTools, Network requests and response headers: https://developer.chrome.com/docs/devtools/network/reference
CERT-EU Security Advisory 2026-018, 2026-10-20/21: https://cert.europa.eu/publications/security-advisories/2026-018/
PHP official support periods: https://www.php.net/supported-versions.php
PHP Security Advisory, 2026-10-21: https://www.php.net/archive/2026.php
PHP Foundation, background and disclosure, 2026-10-21: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
CVE-2026-109618 (PHP advisory): https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w
CVE-2026-109619 (PHP advisory): https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp
