PHP vá hai lỗ hổng RCE nghiêm trọng được phát hiện bằng các mô hình AI tiên tiến

Dự án PHP phát hành PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35 vào ngày 21 tháng 10 năm 2026. Đây là các bản cập nhật bảo mật khắc phục hai lỗ hổng nghiêm trọng có thể cho phép thực thi mã từ xa mà không cần xác thực, được phát hiện bằng các mô hình AI tiên tiến. Quá trình công bố phối hợp có sự tham gia của dự án PHP, OpenAI, công ty nghiên cứu bảo mật Calif và công ty bảo mật đám mây Wiz.

Các bản phát hành đã vá lỗi

Thông báo bảo mật của dự án PHP cho biết bốn bản phát hành khắc phục CVE-2026-109618, được mô tả là lỗ hổng thực thi mã từ xa do hỏng dữ liệu khi hết bộ nhớ, và CVE-2026-109619, được mô tả là lỗ hổng thực thi mã từ xa do trạng thái toàn cục cũ. Trong thông báo trước của nhóm bảo mật PHP vào ngày 20 tháng 10 năm 2026, cả hai lỗ hổng được chấm điểm CVSS v4.0 là 9.2 và lịch phát hành được ấn định vào 14:00 UTC ngày 21 tháng 10.

Theo thông báo, mọi bản cài đặt PHP phục vụ các yêu cầu web đều có nguy cơ bị ảnh hưởng, bao gồm PHP-FPM, Apache với mod_php, php-cgi, FrankenPHP và LiteSpeed. Rủi ro được đánh giá là cao nhất với mod_php, nơi có thể kích hoạt một phương thức khai thác đã được chứng minh bằng yêu cầu không cần xác thực, trước khi bất kỳ mã ứng dụng nào chạy.

Dự án cho biết không có biện pháp giảm thiểu nào khắc phục hoàn toàn vấn đề và cập nhật là lựa chọn an toàn duy nhất, dù dự án liệt kê một số thiết lập tạm thời giúp giảm nguy cơ trước các đường tấn công cụ thể. Các bản phân phối Linux và nhà cung cấp LTS đã nhận được bản vá trước. Nhóm bảo mật PHP cũng cung cấp các bản vá ngược mã nguồn tối thiểu cho PHP 7.4, 8.0 và 8.1—những phiên bản không còn được cập nhật—đồng thời lưu ý PHP 8.2 sẽ hết vòng đời vào ngày 31 tháng 12 năm 2026.

Các lỗ hổng và phương thức khai thác Php2shell

Bản công bố kỹ thuật của Wiz Research mô tả CVE-2026-109618 là lỗ hổng bao gồm lỗi sử dụng sau khi giải phóng trong bộ giải tuần tự hóa tiến trình tải lên và việc tiết lộ bộ nhớ tiến trình từ xa; CVE-2026-109619 bao gồm lỗi sử dụng sau khi giải phóng trong dấu vết ngăn xếp khi xảy ra lỗi nghiêm trọng và lỗi nhầm lẫn kiểu trong OPcache. Tất cả đều là vấn đề về an toàn bộ nhớ, bắt nguồn từ cách PHP xử lý lỗi nghiêm trọng—đặc biệt là lỗi hết bộ nhớ—khi xử lý yêu cầu.

Wiz cho biết mọi phiên bản PHP phát hành trong thập kỷ qua đều bị ảnh hưởng bởi ít nhất một trong các lỗ hổng này, kể từ phiên bản 5.4. Calif cho biết đường khai thác sớm nhất mà họ tìm thấy có từ PHP 5.4.0, đồng thời cho biết các đường khai thác—phụ thuộc vào phiên bản PHP và SAPI—đều có thể bị khai thác khi sử dụng cấu hình mặc định.

Wiz kết hợp các lỗ hổng thành một tập lệnh khai thác duy nhất có tên php2shell và chứng minh khả năng thực thi mã từ xa mà không cần xác thực trên các ảnh vùng chứa mới nhất của WordPress, Drupal và Joomla. Trong một thử nghiệm riêng, công ty chứng minh khả năng tiết lộ bộ nhớ của tiến trình PHP không phụ thuộc vào ứng dụng; vùng nhớ này có thể chứa mật khẩu, mã thông báo xác thực, khóa API và chứng chỉ. Bài viết của Calif ghi nhận đã xác nhận khả năng thực thi mã từ xa trước khi xác thực trên WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, Magento 2.4.9, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11, Symfony 8.1 và WHMCS; trong một số trường hợp, lỗ hổng còn ảnh hưởng đến các tập lệnh PHP bất kỳ.

Wiz cho biết PHP vận hành 70% tổng số trang web, trong đó có WordPress, Joomla, Drupal và MediaWiki của Wikipedia, đồng thời xếp các phát hiện này vào nhóm lỗ hổng nghiêm trọng nhất từng được phát hiện trong PHP.

Các mô hình AI tiên tiến đã phát hiện lỗ hổng như thế nào

OpenAI cho biết trong hai tháng qua, công ty đã dẫn dắt một liên minh gồm các nhà bảo trì, nhà nghiên cứu và đơn vị cung cấp giải pháp bảo mật để xử lý các lỗ hổng. Calif xác định một lỗ hổng nghiêm trọng bằng mô hình GPT-5.6 Sol trong khuôn khổ sáng kiến Patch the Planet của OpenAI, còn Wiz độc lập phát hiện và báo cáo cả hai lỗ hổng. Các nhà bảo trì PHP dẫn dắt quá trình khắc phục và phát hành bản vá.

Các mốc thời gian do những bên tham gia cung cấp cho thấy những phát hiện độc lập diễn ra chồng lấn nhau. PHP Foundation ghi nhận Calif bắt đầu cuộc kiểm tra vào ngày 30 tháng 7 năm 2026, và nhà nghiên cứu Ryan A của Calif báo cáo một lỗ hổng thực thi mã từ xa vô điều kiện vào ngày 11 tháng 8 năm 2026; cùng ngày, OpenAI cũng độc lập báo cáo cùng nguyên nhân gốc rễ. Theo tường thuật của Calif, công ty phát hiện lỗ hổng vào ngày 1 tháng 8 năm 2026, chia sẻ bằng chứng khai thác RCE với PHP vào ngày 14 tháng 8 năm 2026, PHP xác nhận vào ngày 15 tháng 8 năm 2026 và một lỗi thứ hai được báo cáo vào ngày 21 tháng 8 năm 2026.

Wiz cho biết họ phát hiện lỗ hổng đầu tiên vào ngày 19 tháng 8 năm 2026 bằng Wiz Atlas, Gemini 4 Argon và GPT-5.6 Sol; xác nhận khả năng thực thi mã mà không cần xác thực trên Drupal vào ngày 20 tháng 8 năm 2026 và trên WordPress vào ngày 21 tháng 8; sau đó báo cáo các lỗ hổng cho nhóm bảo mật PHP vào ngày 24 tháng 8 năm 2026. Theo PHP Foundation, OpenAI bổ sung các hướng tấn công khác vào ngày 18 tháng 9 năm 2026. Theo Wiz, PHP xác nhận đã nhận được các báo cáo và bắt đầu xây dựng bản vá phối hợp vào ngày 21 tháng 9 năm 2026.

Điểm yếu nền tảng này đã tồn tại từ lâu. Calif kể lại rằng Stefan Esser phát hiện lỗ hổng từ xa đầu tiên liên quan đến giới hạn bộ nhớ của PHP vào năm 2004, một lỗi mô tả tình trạng hết bộ nhớ được báo cáo cho dự án vào năm 2020, và một cuộc kiểm tra năm 2024 do OSTIF và Quarkslab thực hiện đã phát hiện lại vấn đề nhưng không chứng minh được khả năng khai thác. PHP Foundation viết rằng cuộc kiểm tra năm 2024 được Sovereign Tech Agency tài trợ, còn công việc khắc phục đã nhiều lần đình trệ rồi được khởi động lại trong suốt nhiều tháng: “Chúng tôi sẽ không giả vờ rằng không có chuyện gì: sự chậm trễ này là một thất bại mang tính cơ cấu.”

OpenAI cho biết, xét đến mức độ nghiêm trọng của các lỗ hổng và việc PHP được sử dụng rộng rãi, công ty xem đây là một trong những vấn đề an ninh có tác động lớn nhất trong thời gian gần đây. Theo hiểu biết của OpenAI, các mô hình AI tiên tiến đã phát hiện ra những lỗ hổng này trước kẻ tấn công, mở ra điều mà công ty gọi là “Khoảng thời gian dành cho bên phòng thủ”. Công ty cam kết tài trợ 1 tỷ đô la để trợ giá quyền truy cập Daybreak cho những người trực tiếp làm công tác phòng thủ, đồng thời công bố một công cụ kiểm tra phiên bản PHP dưới dạng kỹ năng Codex trong kho GitHub openai/php2shell-checker.

Thông tin rò rỉ và lệnh cấm tiết lộ bị phá vỡ

PHP Foundation cho biết thông tin về việc phối hợp công bố được giữ kín cho đến hai ngày trước ngày dự kiến phát hành. Khoảng 15:00 UTC ngày 20 tháng 10 năm 2026, hai mã CVE bắt đầu lan truyền trên các diễn đàn trực tuyến và mạng xã hội, kèm theo thời điểm phát hành sai và điểm CVSS sai là 10.0, dù không có chi tiết kỹ thuật nào bị rò rỉ. Dự án PHP đã dời thời điểm thông báo trước lên 19:30 UTC cùng ngày và chuyển lịch phát hành từ ngày 22 tháng 10 năm 2026 sang 14:00 UTC ngày 21 tháng 10 năm 2026, với lý do các đơn vị phân phối vẫn đang đóng gói bản sửa lỗi.

Theo PHP Foundation, vào khoảng 20:00 UTC ngày 20 tháng 10, Calif đã vô tình đăng một video cho thấy bằng chứng khái niệm của mình hoạt động trên một số mục tiêu; các bản sao của video lan truyền và góp phần đẩy nhanh quá trình phát triển nhiều bản khai thác bằng chứng khái niệm vào ngày 21 tháng 10. PHP Foundation cho biết, lúc 07:41 UTC ngày 21 tháng 10, hơn sáu giờ trước thời điểm công bố phối hợp, Chainguard đơn phương phá vỡ lệnh cấm tiết lộ và phát hành các ảnh hệ thống đã dựng sẵn có chứa bản sửa lỗi. Đội ngũ bảo mật PHP theo dõi các bằng chứng khái niệm xuất hiện sau vụ rò rỉ, nhưng tại thời điểm phát hành và công bố công khai, họ không phát hiện được bất kỳ bản khai thác nào hoạt động hiệu quả.

Phối hợp với chính phủ và khuôn khổ được đề xuất

OpenAI cho biết họ đã phối hợp với các đối tác để làm việc với nhiều bộ phận của chính phủ Hoa Kỳ, trong đó có Lực lượng Siêu trí tuệ của Nhà Trắng, Văn phòng Giám đốc An ninh mạng Quốc gia và Cơ quan An ninh mạng và Cơ sở hạ tầng, cũng như các đối tác quốc tế, nhằm giúp hướng dẫn bảo mật đến được các tổ chức trọng yếu. Wiz cho biết trước khi thông tin được công bố công khai, công ty đã hợp tác với Google Cloud, Cloudflare, AWS, Microsoft, Automattic, Fastly, Akamai, Imperva, Vercel và các đơn vị khác để chuẩn bị hướng dẫn cho khách hàng, các biện pháp phát hiện và biện pháp giảm thiểu có sẵn ngay sau khi triển khai, dành cho những tổ chức chưa thể cập nhật ngay.

OpenAI cũng công bố một khuôn khổ gồm năm giai đoạn được đề xuất để ứng phó với các lỗ hổng nghiêm trọng trong phần mềm được sử dụng rộng rãi: xác thực và khắc phục lỗ hổng ở thượng nguồn; dành thời gian để các tổ chức bị ảnh hưởng hành động; phối hợp với các đối tác chính phủ; chuẩn bị bản cập nhật cho các sản phẩm bị ảnh hưởng; và công bố hướng dẫn khi đã có bản vá. Công ty kêu gọi cộng đồng bảo mật góp ý về cách tiếp cận này.

PHP Foundation, tổ chức thành lập Đội ngũ An ninh Hệ sinh thái vào tháng 5 năm 2026 và tuyển dụng Alexandre Daubois vào tháng 7 năm 2026 cùng Daniel Scherzer vào tháng 9 năm 2026, cho biết đội ngũ này đã công bố 15 CVE kể từ ngày 1 tháng 7 năm 2026, đồng thời xử lý hơn 100 báo cáo được xác định là không hợp lệ, trùng lặp hoặc không thể tái hiện. Tổ chức kêu gọi các công ty, nhà cung cấp dịch vụ lưu trữ, nền tảng đám mây, đơn vị phân phối và chính phủ tài trợ, vì dịch vụ của họ vận hành trên PHP.