[Khẩn] Cảnh báo lỗ hổng bảo mật nghiêm trọng trong PHP (CVE-2026-109618 và CVE-2026-109619)
Hai lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng vừa được công bố, ảnh hưởng đến hầu hết các phiên bản PHP. Quý khách vui lòng kiểm tra và cập nhật ngay.
Kính gửi Quý khách hàng,
Ngày 21/10/2026, hai lỗ hổng bảo mật nghiêm trọng trong PHP đã được công bố, mang mã CVE-2026-109618 và CVE-2026-109619. Đây là lỗ hổng thực thi mã từ xa (RCE): kẻ tấn công có thể chạy mã tùy ý trên máy chủ dùng PHP và chiếm toàn quyền hệ thống. Mã khai thác mẫu đã được công khai, nên nguy cơ bị tấn công là rất cao.
Ai bị ảnh hưởng?
Mọi phiên bản PHP từ PHP 5 trở lên. Nếu website của Quý khách chạy WordPress, Drupal, Laravel, Joomla, OpenCart hay bất kỳ mã nguồn PHP nào, Quý khách cần xem như đang có nguy cơ cho đến khi cập nhật.
Các phiên bản đã được vá
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Bản vá chỉ có cho các phiên bản còn được hỗ trợ (8.2 trở lên). PHP 8.1 trở về trước đã hết hỗ trợ và sẽ không có bản vá.
Quý khách cần làm gì?
- Kiểm tra phiên bản PHP đang dùng trong trang quản trị hosting (cPanel/DirectAdmin → PHP Selector/Select PHP Version).
- Chuyển sang một trong các phiên bản đã vá nêu trên.
- Nếu đang dùng PHP 8.1 trở xuống, nâng cấp lên PHP 8.2 trở lên. Vui lòng kiểm tra tương thích của website và sao lưu trước khi đổi.
- Cập nhật mã nguồn, theme và plugin (WordPress, Laravel…) lên bản mới nhất từ nhà phát triển.
- Nếu chưa thể cập nhật ngay, hạn chế truy cập công khai vào các trang quản trị không cần thiết và theo dõi các thay đổi bất thường trên website.
Chúng tôi đang làm gì?
Đội ngũ kỹ thuật đang rà soát toàn bộ hệ thống máy chủ và cập nhật các phiên bản PHP có bản vá. Để bảo vệ hệ thống chung, những tài khoản có dấu hiệu bị xâm nhập có thể bị tạm giới hạn truy cập cho đến khi được xử lý.
Thông tin chính thức: php.net
Nếu cần hỗ trợ kiểm tra hoặc nâng cấp, Quý khách vui lòng liên hệ bộ phận kỹ thuật. Xin cảm ơn Quý khách đã đồng hành cùng chúng tôi.