Cảnh báo kỹ thuật · CVE-2026-109618 và CVE-2026-109619 · CVSS 4.0: 9,2/10. Hai lỗi trong bộ máy PHP có thể cho phép thực thi mã từ xa (RCE) mà không cần xác thực. Nếu website đang phục vụ lưu lượng Internet, hãy xác định PHP nào xử lý yêu cầu web và đối chiếu bản vá cho chính môi trường đó. Ưu tiên máy chủ Apache chạy mod_php, cấu hình được đội ngũ PHP đánh giá có rủi ro cao nhất. Khuyến cáo bảo mật của dự án PHP.
Hai lỗi quản lý bộ nhớ trong bộ máy PHP
CVE-2026-109618 — Dọn dẹp dữ liệu khởi tạo dở dang. Khi PHP hết bộ nhớ giữa quá trình chuẩn bị dữ liệu cho một yêu cầu, luồng xử lý có thể dừng trước khi hoàn tất khởi tạo. Khâu dọn dẹp sau đó có thể xử lý dữ liệu chưa hợp lệ. Đây là lỗi ở vòng đời dữ liệu nội bộ của PHP, bên dưới lớp ứng dụng.
CVE-2026-109619 — Tham chiếu còn sót sau khi giải phóng bộ nhớ. Tiến trình PHP có thể xử lý nhiều yêu cầu liên tiếp. Lỗi xuất hiện khi trạng thái của yêu cầu trước vẫn trỏ tới vùng nhớ đã giải phóng và được sử dụng lại trong yêu cầu sau. Cả hai lỗi đều có thể dẫn đến RCE trong môi trường bị ảnh hưởng.
Mã chạy được qua RCE có thể hoạt động với quyền của tiến trình PHP. Phạm vi thiệt hại phụ thuộc vào quyền đọc tệp, thông tin xác thực ứng dụng và khả năng truy cập cơ sở dữ liệu của tiến trình đó. Dự án PHP công bố cảnh báo ngày 20/10/2026 và phát hành các bản vá 8.2.35, 8.3.36, 8.4.27 và 8.5.12 ngày 21/10. Các số phiên bản này áp dụng cho bản phát hành của dự án PHP. Với gói do hệ điều hành hoặc nhà cung cấp hosting duy trì, hãy đối chiếu bản vá theo cả hai mã CVE. Thông báo phát hành bản vá.
Xác định PHP đang phục vụ từng website
php -v
php --ini
systemctl list-units --type=service --all 'php*fpm*'
sudo nginx -T 2>&1 | grep -nE 'server_name|fastcgi_pass|upstream'
sudo apachectl -M | grep -E 'php|proxy_fcgi'Hai lệnh đầu kiểm tra PHP CLI và cấu hình php.ini của CLI. Với Nginx, đối chiếu fastcgi_pass của từng website với socket hoặc địa chỉ upstream của PHP-FPM. Với Apache, danh sách module cho biết máy có nạp PHP trực tiếp hoặc hỗ trợ chuyển tiếp FastCGI hay không. Kiểm tra thêm cấu hình virtual host để xác định cơ chế xử lý của từng website.
Ví dụ trên Ubuntu/Debian, PHP 8.3 có thể dùng /etc/php/8.3/cli/php.ini cho CLI và /etc/php/8.3/fpm/php.ini cho FPM. Kiểm tra thêm cấu hình pool và thư mục conf.d của môi trường tương ứng. Nếu dùng container hoặc hosting quản lý, hãy kiểm tra bản PHP bên trong container hoặc cấu hình PHP của từng website trên bảng điều khiển. Thay đổi php.ini không cài bản vá cho bộ máy PHP.
Triển khai bản vá và xác nhận tiến trình đã nạp bản mới
Ubuntu/Debian. Ví dụ dưới đây áp dụng cho máy đã cài các gói PHP 8.3 và dùng FPM. Thay tên gói theo nhánh thực tế. Đối chiếu phiên bản Candidate với thông báo bảo mật của kho gói và xem danh sách thay đổi từ lệnh mô phỏng trước khi cập nhật. Rà soát các extension PHP do hệ thống sử dụng cùng đợt.
sudo apt-get update
apt-cache policy php8.3-fpm php8.3-common
apt-get -s install --only-upgrade php8.3-fpm php8.3-common
sudo apt-get install --only-upgrade php8.3-fpm php8.3-common
sudo systemctl restart php8.3-fpm
systemctl is-active php8.3-fpmRHEL hoặc CentOS Stream dùng DNF. Ví dụ áp dụng cho máy chạy dịch vụ php-fpm từ kho gói đã cấu hình. Kiểm tra phiên bản gói và xác nhận kho đã cung cấp bản vá cho cả hai CVE trước khi nâng cấp.
rpm -q php-fpm php-common
dnf info php-fpm php-common
sudo dnf upgrade php-fpm php-common
sudo systemctl restart php-fpm
systemctl is-active php-fpmVới Apache chạy mod_php, cập nhật gói module PHP đang dùng và khởi động lại dịch vụ Apache tương ứng, thường là apache2 trên Ubuntu/Debian hoặc httpd trên hệ dùng RPM. Trên cụm nhiều máy, triển khai lần lượt và xác nhận từng máy trước khi đưa trở lại cân bằng tải. Tài liệu quản lý gói DNF của Red Hat.
Kiểm tra qua đường truy cập thực tế. Đối chiếu phiên bản gói đã cài với thông báo bảo mật, xác nhận dịch vụ đã khởi động lại và thử luồng đăng nhập, gửi biểu mẫu hoặc đặt hàng. Xem nhật ký lỗi của máy chủ web và PHP-FPM sau khi thử. Nếu có dấu hiệu xâm nhập, cô lập máy nghi vấn, bảo toàn nhật ký và xử lý theo quy trình ứng phó sự cố. Bản vá xử lý lỗ hổng, còn việc xác định hệ thống đã bị xâm nhập cần điều tra riêng.
Hỗ trợ khẩn cấp cho doanh nghiệp không có đội IT riêng
Sau khi cảnh báo được công bố, Hudotech đã chủ động liên hệ với toàn bộ khách hàng từng triển khai dự án PHP với Hudotech hoặc đang vận hành hệ thống PHP trên máy chủ và hạ tầng do Hudotech cung cấp. Đội ngũ hỗ trợ chọn bản PHP đã vá phù hợp với từng hệ thống. Với một số website đã hết bảo hành từ lâu, Hudotech sửa miễn phí các lỗi tương thích trong mã nguồn để khách hàng hoàn tất nâng cấp. Đó là cách đội ngũ thực hiện tinh thần “Đồng hành” sau bàn giao.
Nếu doanh nghiệp chưa xác định được website đang chạy PHP nào, hoặc việc nâng cấp làm gián đoạn đăng nhập hay đặt hàng, hãy liên hệ Hudotech và gửi tên miền, nhà cung cấp hosting cùng triệu chứng đang gặp. Đó là những thông tin ban đầu để đội ngũ xác định nơi cần kiểm tra và trao đổi phương án vá phù hợp.