Lỗ hổng nghiêm trọng của PHP: tình hình xử lý của VAON và việc nhận hỗ trợ cập nhật khẩn

Khoảng 23 giờ ngày 21/10/2026 (giờ Nhật), nhóm phát triển PHP phát hành bản sửa cho 2 lỗ hổng mức nghiêm trọng cao (CVE-2026-109618, CVE-2026-109619). Với 5 hệ thống VAON đang bảo trì cho khách hàng, đội ngũ bắt tay cập nhật ngay sau khi bản sửa ra. Phần cập nhật PHP xong trong khoảng 1 giờ; sau đó từng hệ thống được kiểm thử lại toàn bộ.

Xử lý trong đêm

Trong lúc làm, trang bảo trì được trả về từ cấu hình web server và load balancer, để request không đi tới PHP. Chế độ bảo trì có sẵn trong ứng dụng vẫn chạy trên PHP, nên không bảo vệ được trước lỗ hổng lần này.

Sau đó, với từng hệ thống, đội ngũ xác nhận cấu hình server và nguồn cài đặt PHP rồi mới cập nhật lên bản sửa. Phiên bản PHP hiện ra khi gõ lệnh có thể khác với PHP thực sự đang phục vụ web, nên cả hai đều được kiểm tra.

Phần tốn thời gian nhất không phải là cập nhật, mà là việc sau đó: xác định thư viện nào, ở phiên bản nào, có thể lỗi với PHP mới, rồi kiểm thử lại toàn bộ hệ thống. Nội dung và kết quả xử lý được báo cáo cho người phụ trách của từng hệ thống.

Bối cảnh

Nhóm phát triển PHP chấm cả 2 lỗ hổng 9.2 theo CVSS v4.0 và cho biết không có biện pháp giảm thiểu nào trọn vẹn, cập nhật là lựa chọn an toàn duy nhất. Các bản sửa là PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. IPA (Cơ quan Xúc tiến Công nghệ Thông tin Nhật Bản) cũng ra cảnh báo ngày 22/10, gọi 2 lỗ hổng này là "PHP2Shell". PHP 8.1 trở xuống không có bản sửa lần này, còn PHP 8.2 hết hỗ trợ ngày 31/12/2026.

Ý nghĩa với doanh nghiệp đang có website hoặc hệ thống chạy PHP

Website và hệ thống chạy PHP, kể cả WordPress, đều có thể bị ảnh hưởng. Nên hỏi đơn vị làm web hoặc đơn vị bảo trì:

• Đang chạy PHP phiên bản nào, đã cập nhật lên bản sửa chưa
• Nếu chưa cập nhật được ngay thì đang áp dụng biện pháp tạm thời gì; nếu là PHP 8.1 trở xuống thì khi nào chuyển phiên bản

Nếu không biết hỏi ai, hoặc trong công ty không có người phụ trách, VAON nhận tư vấn qua dịch vụ "Cập nhật khẩn và chẩn đoán ảnh hưởng PHP" (PHP緊急アップデート・影響診断). Đây là dịch vụ hỗ trợ từ khâu chẩn đoán phiên bản và cách PHP đang chạy, cập nhật lên bản sửa, đến kiểm tra hoạt động sau cập nhật. Chi phí được báo trước khi làm, sau khi nghe về môi trường của quý công ty.

Liên hệ

Gửi cho chúng tôi URL website và loại server (trong phạm vi quý vị biết).

Liên hệ: https://vaon.com.vn/vi/contact
Trường hợp gấp: luan.dang@vaon.com.vn

Nguồn tham khảo

• PHP: Thông báo bảo mật PHP ngày 21/10/2026 (php.net)
• IPA: Cảnh báo ngày 22/10/2026 (ipa.go.jp)