Hàn Quốc kêu gọi cập nhật PHP sau khi hai lỗ hổng làm dấy lên phản ứng an ninh quốc tế

Các bản vá khẩn cấp xử lý hai điểm yếu trong phần mềm web được sử dụng rộng rãi

Cơ quan An ninh và Internet Hàn Quốc (KISA) ngày 21 tháng 10 năm 2026 kêu gọi các đơn vị vận hành website cập nhật PHP, sau khi phát hiện hai điểm yếu bảo mật trong phần mềm dùng để vận hành trang đăng nhập, dịch vụ mua sắm và diễn đàn. Các rủi ro được báo cáo bao gồm khả năng kẻ tấn công chạy mã trên máy chủ mà không cần đăng nhập trước.

KISA xác định các lỗ hổng là CVE-2026-109618, liên quan đến việc xử lý không đúng các tình huống ngoại lệ, và CVE-2026-109619, liên quan đến việc sử dụng bộ nhớ sau khi đã giải phóng. Các ngưỡng cập nhật áp dụng cho bốn nhánh phát hành PHP: 8.2.35, 8.3.36, 8.4.27 và 8.5.12.

Bộ Khoa học và Công nghệ Thông tin Hàn Quốc cùng KISA tiếp đó đã gửi yêu cầu bảo mật vào tối 21 tháng 10 tới các doanh nghiệp và tổ chức thuộc các mạng lưới an ninh mạng quốc gia. Nhà chức trách mô tả hoạt động tiếp cận này vào ngày 22 tháng 10. Chính phủ đang xem xét hỗ trợ khẩn cấp để giúp các doanh nghiệp nhỏ cài đặt bản vá.

Các điểm yếu, được gọi chung là PHP2Shell, đã dẫn đến phản ứng quốc tế. Một số cơ quan chính phủ ở Hà Lan và Phần Lan được cho là đã tạm ngừng hoạt động website để đề phòng, trong khi các cơ quan an ninh mạng tại châu Âu, Nhật Bản và Australia kêu gọi cập nhật. Các cơ quan Mỹ cũng được cho là đã khuyến nghị đưa những hệ thống bị ảnh hưởng ngoại tuyến nếu không thể vá ngay.

Những phiên bản PHP nào cần được chú ý?

Khuyến nghị của KISA đặt ra phiên bản tối thiểu khác nhau cho từng nhánh PHP bị ảnh hưởng. Một nhánh là một nhóm các bản phát hành: chẳng hạn, website chạy PHP 8.3 cần cập nhật lên bản đã sửa lỗi trong cùng nhánh đó hoặc lên phiên bản mới hơn phù hợp và còn được hỗ trợ.

• PHP 8.2: cập nhật nếu đang dùng phiên bản cũ hơn 8.2.35.
• PHP 8.3: cập nhật nếu đang dùng phiên bản cũ hơn 8.3.36.
• PHP 8.4: cập nhật nếu đang dùng phiên bản cũ hơn 8.4.27.
• PHP 8.5: cập nhật nếu đang dùng phiên bản cũ hơn 8.5.12.

KISA cũng cảnh báo PHP 8.1 và các phiên bản cũ hơn đã hết thời hạn hỗ trợ bảo mật chính thức. Các đơn vị vận hành những phiên bản này được khuyến nghị chuyển sang phiên bản còn được hỗ trợ, thay vì tiếp tục dùng phần mềm đã kết thúc quá trình bảo trì bảo mật chính thức.

Với chủ doanh nghiệp, việc cần làm trước tiên là xác định phiên bản PHP đang chạy trên máy chủ website. Công ty lưu trữ web có thể quản lý phần mềm này, hoặc trách nhiệm có thể thuộc về đội ngũ công nghệ nội bộ. Cập nhật trình duyệt trên máy tính xách tay là thay đổi một phần khác của hệ thống.

Hai lỗ hổng có thể gây ra điều gì?

CVE-2026-109618 liên quan đến các tình huống ngoại lệ, tức những tình huống phần mềm gặp phải điều gì đó nằm ngoài hoạt động bình thường. Chương trình cần xử lý những tình huống đó một cách an toàn. Nếu xử lý không tốt, phần mềm có thể hoạt động ngoài dự kiến.

CVE-2026-109619 được mô tả là lỗ hổng sử dụng sau khi giải phóng bộ nhớ. Phần mềm tạm thời dành riêng các vùng bộ nhớ máy tính và giải phóng chúng khi không còn cần thiết. Dạng lỗi này xảy ra khi chương trình sau đó cố sử dụng một vùng đã được giải phóng, có thể dẫn đến việc truy cập dữ liệu đã thay đổi hoặc thuộc về một tác vụ khác.

Rủi ro được báo cáo là thực thi mã từ xa mà không cần xác thực. Nói đơn giản, người bên ngoài website có thể khiến máy chủ chạy lệnh mà không cần cung cấp tên người dùng hoặc mật khẩu hợp lệ. Một cuộc tấn công thành công có thể làm lộ thông tin, cài đặt phần mềm độc hại hoặc gián đoạn dịch vụ.

Các thông báo công khai được mô tả không nêu rõ cấu hình máy chủ và điều kiện yêu cầu cần thiết để khai thác từng điểm yếu. Vì vậy, các đơn vị vận hành cần kiểm tra phiên bản phần mềm bị ảnh hưởng và xin hướng dẫn kỹ thuật phù hợp với hệ thống của mình.

Vì sao WordPress khiến vấn đề liên quan đến cả các doanh nghiệp thông thường?

PHP chạy trên máy chủ website, chứ không chạy trên điện thoại hay máy tính của khách truy cập. Khi người mua muốn xem lịch sử đơn hàng, chương trình PHP có thể lấy dữ liệu liên quan từ cơ sở dữ liệu rồi tạo trang gửi lại trình duyệt. Hệ thống đăng nhập, bình luận và diễn đàn cũng có thể hoạt động theo cách tương tự.

WordPress, nền tảng cung cấp công cụ tạo và quản lý website, cũng chạy trên PHP. Điều đó khiến đợt ứng phó bảo mật này liên quan đến blog, website doanh nghiệp và cửa hàng trực tuyến, trong đó chủ sở hữu có thể ít khi làm việc trực tiếp với ngôn ngữ lập trình nền tảng.

Số liệu được cho là của W3Techs, dịch vụ đo lường công nghệ web, cho thấy PHP được sử dụng trên khoảng 75% số website có thể xác định ngôn ngữ lập trình phía máy chủ. WordPress chiếm khoảng 43% tổng số website. Số liệu về PHP dựa trên phạm vi đo hẹp hơn số liệu về WordPress: các website xác định được ngôn ngữ phía máy chủ, thay vì toàn bộ website.

Các con số này cho thấy phạm vi rộng của hoạt động ứng phó. Nhiều website hoạt động độc lập phụ thuộc vào cùng một phần mềm nền tảng, nên một chiến dịch khắc phục có thể đồng thời liên quan đến cơ quan công quyền, doanh nghiệp lớn và doanh nghiệp nhỏ.

Hàn Quốc tiếp cận doanh nghiệp qua hai kênh an ninh

Bộ Khoa học và Công nghệ Thông tin cùng KISA gửi yêu cầu ngày 21 tháng 10 tới các thành viên C-TAS, hệ thống phân tích và chia sẻ thông tin về mối đe dọa mạng, và các công ty thuộc diện bắt buộc đăng ký giám đốc an ninh thông tin (CISO).

C-TAS có khoảng 5.900 công ty và tổ chức tham gia. Theo luật về mạng thông tin và truyền thông của Hàn Quốc, khoảng 30.000 công ty phải chỉ định CISO và thông báo cho bộ. CISO là cán bộ cấp cao chịu trách nhiệm về an ninh thông tin của một tổ chức.

Hai con số này phản ánh các nhóm được tiếp cận khác nhau và có thể có phần trùng lặp. Chính phủ cũng sử dụng cổng thông tin an ninh mạng công khai của KISA, có tên Boho Nara, để khuyến nghị cập nhật bảo mật và cài đặt bản vá.

Các doanh nghiệp nhỏ gặp khó khăn thực tế về nhân lực: một số không có nhân viên đủ khả năng xác định hệ thống bị ảnh hưởng, bố trí cập nhật và kiểm tra xem website còn hoạt động bình thường hay không sau đó. Một quan chức bộ cho biết chính phủ đã phổ biến hướng dẫn bảo mật trước và đang xem xét hỗ trợ vá lỗi khẩn cấp. Chưa có ngày triển khai hay tiêu chí đủ điều kiện nào được công bố.

Diễn biến ứng phó

Diễn biến được báo cáo bắt đầu từ một cuộc kiểm toán an ninh bên ngoài vào năm 2024 và dẫn đến việc đẩy sớm phát hành các bản vá vào tháng 10 năm 2026. Các mốc chính gồm:

• 2024: Một cuộc kiểm toán bên ngoài được cho là đã phát hiện dấu hiệu của một số lỗi. Bất đồng nội bộ và lo ngại về khả năng tương thích với phần mềm hiện có được nêu là lý do việc phát triển bản vá khi đó không được tiến hành.
• Ngày 21 tháng 10 năm 2026: Các nhà phát triển PHP được cho là đã phát hành bản sửa cho hai lỗ hổng, và KISA đưa ra khuyến nghị cập nhật.
• Tối 21 tháng 10: Nhà chức trách Hàn Quốc gửi yêu cầu bảo mật qua các kênh doanh nghiệp và tổ chức.
• Ngày 22 tháng 10: Nhà chức trách Hàn Quốc mô tả hoạt động tiếp cận. Đây cũng là ngày phát hành bản vá theo kế hoạch ban đầu.

Các bản vá được cho là đã phát hành sớm hơn một ngày sau khi thông tin về các lỗ hổng bị rò rỉ. Các nỗ lực tấn công cũng được cho là đã bị phát hiện trước khi bản vá được công bố, càng khiến các đơn vị vận hành phải nhanh chóng hành động.

Thông tin về cuộc kiểm toán năm 2024 cũng cho thấy thách thức trong công tác bảo trì. Một thay đổi đối với phần mềm dùng chung có thể ảnh hưởng đến các ứng dụng được xây dựng dựa trên cách phần mềm đó vốn hoạt động. Lo ngại về khả năng tương thích có thể khiến việc phối hợp khắc phục khó khăn hơn, nhất là khi một ngôn ngữ lập trình hỗ trợ nhiều website và mô hình lưu trữ khác nhau.

Phát hiện bằng AI và nghiên cứu bảo mật độc lập

Công ty an ninh mạng Calif được cho là đã phát hiện các lỗ hổng bằng một mô hình OpenAI được mô tả là GPT-5.6 Sol. Các lỗi này được cho là đã không bị phát hiện trong hơn một thập kỷ.

Wiz, công ty an ninh mạng có liên hệ với Google, được cho là đã độc lập tìm thấy và báo cáo hai lỗ hổng. Đồng sáng lập Wiz, Ami Luttwak, mô tả đây là những lỗ hổng nghiêm trọng nhất được phát hiện bằng AI, đồng thời cho rằng nếu không có AI thì việc tìm ra chúng sẽ cực kỳ khó khăn do mức độ phức tạp.

OpenAI cho biết trong hai tháng trước đó, công ty đã phối hợp với các nhà nghiên cứu và công ty an ninh mạng để hỗ trợ ứng phó. Công ty cũng dự đoán số lượng phát hiện tương tự bằng AI sẽ tăng mạnh trong những tháng tiếp theo.

Công việc trước mắt của các đơn vị vận hành website vẫn rất cụ thể: xác định phần mềm đang cài đặt, áp dụng bản sửa phù hợp và duy trì hoạt động dịch vụ. Việc sử dụng AI để phát hiện lỗ hổng là một khía cạnh khác của câu chuyện, bên cạnh nghiên cứu độc lập, phối hợp giữa các nhà phát triển và phân phối bản vá.

Vì sao một số nhà chức trách khuyến nghị ngừng hoạt động?

Cơ quan An ninh Quốc gia Mỹ được cho là đã thúc giục các tổ chức sử dụng PHP cập nhật ngay, cảnh báo việc khai thác có thể giúp kẻ tấn công truy cập hệ thống tệp hoặc cơ sở dữ liệu của máy chủ. Cơ quan này khuyến nghị đưa các hệ thống bị ảnh hưởng ngoại tuyến cho đến khi khắc phục xong nếu không thể cập nhật ngay.

FBI được cho là đã đưa ra khuyến nghị tương tự, cảnh báo về khả năng thực thi mã từ xa và làm lộ thông tin nhạy cảm cũng như các mạng. Một số cơ quan chính phủ Hà Lan và Phần Lan đã tạm ngừng website như một biện pháp phòng ngừa.

Việc ngừng hoạt động website gây tổn thất tức thì: khách truy cập không thể sử dụng dịch vụ mà website cung cấp. Với cửa hàng, điều đó có thể làm gián đoạn doanh số; với cơ quan công quyền, thông tin hoặc biểu mẫu trực tuyến có thể không truy cập được. Khuyến nghị này phản ánh mức độ nghiêm trọng của việc để máy chủ bị phơi nhiễm tiếp tục kết nối mạng trong lúc chờ khắc phục.

Cloudflare cho biết đang cập nhật các biện pháp bảo vệ để ứng phó với những phương thức tấn công. Các đơn vị vận hành website vẫn được khuyến nghị cài đặt bản sửa PHP, đưa phần mềm nền tảng lên các phiên bản được nêu trong đợt ứng phó bảo mật.

Các đơn vị vận hành cần làm gì ngay?

Đơn vị vận hành website cần xác định ai quản lý hệ thống PHP và đối chiếu phiên bản đang dùng với các ngưỡng KISA liệt kê. Các tổ chức sử dụng nhà cung cấp dịch vụ lưu trữ cần yêu cầu nhà cung cấp xác nhận phiên bản máy chủ và kế hoạch cập nhật. Các nhóm tự quản lý máy chủ cần trực tiếp thực hiện thay đổi.

Doanh nghiệp vận hành WordPress nên đưa môi trường PHP vào danh sách kiểm tra cùng với công tác bảo trì website thường kỳ. PHP là một lớp phần mềm riêng bên dưới hệ thống quản lý nội dung, vì vậy chỉ biết phiên bản WordPress sẽ chưa tính đến toàn bộ hệ thống.

Đơn vị vận hành PHP 8.1 hoặc cũ hơn cần chuyển sang phiên bản còn được hỗ trợ. Những đơn vị đang dùng nhánh bị ảnh hưởng cần cài phiên bản đã sửa lỗi tương ứng hoặc một phiên bản mới hơn phù hợp và còn được hỗ trợ. Kiểm thử các chức năng thiết yếu như đăng nhập khách hàng, tra cứu đơn hàng và thanh toán giúp phát hiện sự cố dịch vụ trong quá trình cập nhật.

Điểm chính

• Ngày 21 tháng 10 năm 2026, KISA đưa ra khuyến nghị cập nhật bảo mật PHP, nêu hai mã CVE-2026-109618 và CVE-2026-109619.
• Các ngưỡng cập nhật được liệt kê là PHP 8.2.35, 8.3.36, 8.4.27 và 8.5.12.
• KISA khuyến nghị người dùng PHP 8.1 và các phiên bản cũ hơn chuyển sang phiên bản còn được hỗ trợ.
• Các rủi ro được báo cáo bao gồm khả năng kẻ tấn công thực thi mã từ xa mà không cần đăng nhập.
• Hàn Quốc liên hệ với thành viên các mạng lưới an ninh và những công ty bắt buộc phải chỉ định CISO.
• Chính phủ đang xem xét hỗ trợ vá lỗi khẩn cấp cho các doanh nghiệp nhỏ ở Hàn Quốc.
• Nhà chức trách quốc tế kêu gọi cập nhật; một số khuyến nghị tạm ngừng hoạt động khi không thể vá ngay.