Ngày 21/10/2026, dự án mã nguồn mở PHP cùng tổ chức PHP Foundation đã đồng loạt phát hành các bản cập nhật bảo mật gồm PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Đợt phát hành khẩn cấp này nhằm xử lý hai lỗ hổng bảo mật nghiêm trọng cho phép kẻ tấn công chưa qua xác thực có thể thực thi mã tùy ý từ xa (RCE) trên các máy chủ web.

thephp.foundationToday's PHP Security Release, and How We're Strengthening PHP SecurityDescribing the story behind how critical security vulnerabilities were found and fixed.

Cơ quan An ninh Quốc gia Mỹ (NSA) cùng các trung tâm an ninh mạng tại Anh, Singapore và Liên minh châu Âu đã nhanh chóng phát đi cảnh báo đỏ. Cơ quan chức năng khuyến cáo các quản trị viên nếu chưa thể cập nhật ngay thì nên tạm thời ngắt kết nối máy chủ khỏi Internet để tránh nguy cơ bị xâm nhập.

Hai lỗ hổng cốt lõi bắt nguồn từ quản lý bộ nhớ và xử lý lỗi

Hai lỗ hổng được định danh lần lượt là CVE-2026-109618 và CVE-2026-109619, đều nhận mức điểm rủi ro 9,2 trên thang điểm CVSS v4.0. Cả hai lỗi đều nằm sâu trong những thành phần cốt lõi mà hầu như mọi yêu cầu xử lý web đều phải đi qua: cơ chế cấp phát bộ nhớ và quy trình xử lý lỗi hệ thống.

Trong đó, CVE-2026-109618 xuất phát từ lỗi tràn bộ nhớ (Out-of-Memory - OOM). Khi một yêu cầu chạm ngưỡng giới hạn bộ nhớ đúng vào thời điểm nhạy cảm, PHP để lại dữ liệu khởi tạo dang dở và xử lý như dữ liệu hợp lệ ở các tác vụ sau, dẫn tới làm hỏng cấu trúc bộ nhớ. Lỗ hổng thứ hai, CVE-2026-109619, liên quan đến trạng thái toàn cục bị lưu cữu sau một lỗi nghiêm trọng, khiến luồng xử lý tiếp theo tái sử dụng vùng bộ nhớ đã được giải phóng (use-after-free).

Đáng chú ý, dấu hiệu của lỗi OOM từng được phát hiện từ năm 2024 trong một đợt kiểm toán bảo mật độc lập. Tuy nhiên, đội ngũ phát triển ban đầu gặp bế tắc vì các giải pháp kỹ thuật có nguy cơ phá vỡ tính tương thích ngược hoặc gây suy giảm hiệu năng cho hệ sinh thái mở rộng bên thứ ba. Đến tháng 08/2026, công ty bảo mật Calif phối hợp cùng chương trình Patch the Planet của OpenAI, cùng nhóm nghiên cứu Wiz thuộc Google, đã độc lập chứng minh được kịch bản khai thác RCE thực tế trên máy chủ Apache dùng module mod_php và môi trường PHP-FPM.

Sự cố rò rỉ thông tin buộc nhóm phát triển đẩy sớm lịch phát hành

Kế hoạch ban đầu của PHP Foundation là công bố đồng loạt vào ngày 22/10/2026 để các đơn vị phân phối hệ điều hành và dịch vụ lưu trữ có đủ thời gian chuẩn bị gói cài đặt. Dù vậy, vào chiều ngày 20/10/2026, mã định danh của hai lỗ hổng đã bắt đầu lan truyền trên các diễn đàn trực tuyến với thông tin sai lệch về mức điểm rủi ro tuyệt đối 10,0.

Tình hình trở nên căng thẳng hơn khi một video thử nghiệm tấn công của đối tác vô tình lộ lọt, và nhà cung cấp hình ảnh bảo mật Chainguard đơn phương phát hành bản vá trước giờ quy định hơn 6 tiếng. Trước nguy cơ giới tin tặc dịch ngược nhị phân để tạo mã khai thác trên diện rộng, nhóm phát triển đã quyết định đẩy lịch công bố chính thức lên sớm hơn một ngày.

Sự việc cho thấy vai trò hai mặt của trí tuệ nhân tạo trong an ninh mạng hiện đại: các mô hình ngôn ngữ lớn giúp chuyên gia phát hiện ra những lỗ hổng ẩn sâu suốt hàng chục năm trong các thư viện nền tảng, nhưng cũng đồng thời rút ngắn thời gian kẻ xấu tạo ra công cụ tấn công tự động. Áp lực hiện tại thuộc về hàng chục triệu website vận hành bằng PHP trên toàn cầu, khi ranh giới giữa việc có bản vá và nguy cơ bị tấn công đang được tính từng giờ.