Các đợt ngừng dịch vụ vì lỗ hổng bảo mật PHP tại Nhật Bản ảnh hưởng 1.090 dịch vụ, nhiều nơi chật vật mở cửa trở lại

Hàng trăm dịch vụ vẫn đang chờ hoạt động trở lại

Phản ứng của Nhật Bản trước hai lỗ hổng bảo mật PHP nghiêm trọng đã làm gián đoạn ít nhất 1.090 trang web và dịch vụ trực tuyến; đến ngày 26 tháng 10 năm 2026, hàng trăm dịch vụ vẫn chưa thông báo mở cửa trở lại. Tình trạng gián đoạn ảnh hưởng đến mua sắm trực tuyến, thủ tục tài khoản tài chính, dịch vụ chăm sóc trẻ em và trò chơi, khi các nhà vận hành cài đặt bản vá và kiểm tra xem hệ thống đã an toàn để kết nối trở lại hay chưa.

Assured, một công ty ở Tokyo cung cấp thông tin đánh giá bảo mật cho các dịch vụ đám mây, thống kê có 1.090 dịch vụ tạm ngừng hoạt động tính đến 3 giờ chiều ngày 26 tháng 10. Phân tích của công ty chủ yếu dựa trên các bài đăng thông báo ngừng dịch vụ từ những tài khoản chính thức trên X. Con số này tăng từ 502 vào lúc 2 giờ chiều ngày 23 tháng 10, tức tăng 588 dịch vụ, tương đương khoảng 117%, trong gần ba ngày.

Assured chưa xác nhận thông báo mở cửa trở lại của 465 dịch vụ trong số đó. Con số này chiếm khoảng 43% tổng số dịch vụ được ghi nhận là tạm ngừng. Các thống kê dựa trên thông báo công khai, do đó cần xác nhận với đơn vị vận hành để biết tình trạng mới nhất của 465 dịch vụ này.

Bandai Namco Holdings dự kiến mở lại cửa hàng trực tuyến bán đồ chơi và các mặt hàng khác vào trưa ngày 27 tháng 10, sau khi bắt đầu bảo trì vào tối 21 tháng 10. Kết nối trực tuyến của các trò chơi điện tử thùng, trong đó có Taiko no Tatsujin, vẫn bị tạm ngừng. Tại Daiwa Securities, một số chức năng trên trang web đã hoạt động trở lại, nhưng đến 5 giờ chiều ngày 26 tháng 10, khách hàng vẫn chưa thể đăng ký mở tài khoản đầu tư NISA hoặc thực hiện các thủ tục như đổi địa chỉ.

Lỗ hổng PHP2shell có thể gây ra điều gì

Cơ quan Xúc tiến Công nghệ Thông tin Nhật Bản, gọi tắt là IPA, xác định các lỗ hổng này có mã CVE-2026-109618 và CVE-2026-109619 trong cảnh báo bảo mật PHP ngày 22 tháng 10. Khi kết hợp với nhau, chúng được gọi là PHP2shell. PHP là phần mềm được dùng để vận hành nhiều trang web và ứng dụng web, xử lý công việc trên máy chủ trước khi thông tin được gửi đến trình duyệt của người dùng.

CVE-2026-109618 liên quan đến xử lý lỗi khi PHP cạn bộ nhớ. CVE-2026-109619 liên quan đến việc xử lý các yêu cầu gửi đến máy chủ. Khai thác các lỗ hổng này có thể cho phép kẻ tấn công từ xa thực thi mã tùy ý, tức chạy các chỉ thị do kẻ tấn công lựa chọn thay vì nhà vận hành trang web.

JPCERT/CC, cơ quan điều phối ứng phó sự cố an ninh mạng của Nhật Bản, cho biết mã này có thể chạy với quyền của tiến trình PHP. Nói đơn giản, kẻ tấn công có thể thực hiện những hành động mà phần mềm vận hành trang web được phép làm. Mức độ ảnh hưởng tùy thuộc vào quyền hạn và cấu hình của hệ thống bị tác động.

IPA khuyến nghị các tổ chức kiểm tra thông tin từ nhà phát triển hoặc nhà cung cấp những sản phẩm họ sử dụng, bởi PHP có thể là một phần của ứng dụng hoặc dịch vụ lớn hơn. JPCERT/CC cũng cảnh báo PHP được cung cấp kèm theo các sản phẩm phần mềm hoặc bản phân phối Linux có thể bị ảnh hưởng, vì vậy hướng dẫn của nhà cung cấp là một phần trong quy trình ứng phó.

Các đợt ngừng dịch vụ lan rộng như thế nào

Nhà vận hành dịch vụ bắt đầu đưa hệ thống ngoại tuyến từ ngày 21 tháng 10, trước khi các bản cập nhật bảo mật được phát hành vào khoảng 11 giờ đêm theo giờ Nhật Bản. Một số đơn vị chủ động ứng phó trước thời điểm phát hành, khi thông tin công khai về các lỗ hổng có thể làm tăng nguy cơ bị tấn công.

Diễn biến dưới đây cho thấy một bản cập nhật phần mềm khẩn cấp đã dẫn đến nhiều ngày gián đoạn như thế nào:

• Ngày 21 tháng 10: BASE, Codmon, Pixiv, DMM.com, niconico và một số dịch vụ của Sakura Internet chuyển sang bảo trì hoặc tạm ngừng một số chức năng. Các trò chơi như Granblue Fantasy và Uma Musume Pretty Derby cũng tạm dừng hoạt động.
• Ngày 21 tháng 10, 9 giờ 55 phút tối: Thủ tướng Sanae Takaichi kêu gọi khẩn trương chuẩn bị cài đặt bản vá, đồng thời cho biết có thể tạm ngừng trang web nếu không thể cài đặt ngay.
• Ngày 21 tháng 10, khoảng 11 giờ đêm: Các bản cập nhật bảo mật PHP được phát hành.
• Ngày 22 tháng 10: IPA và JPCERT/CC công bố cảnh báo, giải thích các lỗ hổng và biện pháp ứng phó được khuyến nghị.
• Ngày 23 tháng 10: Thống kê của Assured ghi nhận 502 dịch vụ tạm ngừng. Các nhà phát triển PHP cũng công bố thêm một lỗ hổng khác, CVE-2026-115560.
• Ngày 26 tháng 10: Tổng số của Assured lên đến 1.090, trong khi JPCERT/CC cập nhật cảnh báo với thông tin về các nỗ lực khai thác lỗ hổng.
• Trưa ngày 27 tháng 10: Bandai Namco dự kiến mở lại cửa hàng trực tuyến bán đồ chơi và các mặt hàng khác.

Vì sao ngừng hoạt động trang web trở thành một lựa chọn

Văn phòng An ninh mạng Quốc gia Nhật Bản khuyến nghị tạm ngừng trang web để giảm rủi ro nếu nhà vận hành không thể nhanh chóng cài đặt bản vá. Takaichi cũng nhắc đến phương án này trong lời kêu gọi ngày 21 tháng 10. CERT-EU và Trung tâm An ninh mạng Quốc gia Anh cũng kêu gọi hành động, đồng thời nêu khả năng đưa hệ thống ngoại tuyến cho đến khi có biện pháp bảo vệ.

Hướng dẫn của IPA đưa ra trình tự các phương án. Trước tiên, các tổ chức nên cân nhắc biện pháp bảo vệ tạm thời và hạn chế truy cập trong khi chuẩn bị cập nhật hoặc chuyển đổi hệ thống. Nếu khó triển khai biện pháp tạm thời hiệu quả, họ nên đánh giá việc chặn truy cập từ bên ngoài hoặc tạm ngừng dịch vụ, có cân nhắc thiệt hại tiềm ẩn và ảnh hưởng đến hoạt động kinh doanh.

Đối với khách hàng, lựa chọn đó đồng nghĩa với việc mất quyền truy cập vào các chức năng thường ngày trong khi nhà vận hành xử lý sự cố. Trang mua sắm có thể ngừng nhận đơn hàng, trang web tài chính có thể tạm dừng các thủ tục tài khoản, còn máy trò chơi điện tử thùng có thể mất kết nối với các tính năng trực tuyến.

Yasuhiro Suzuki, người đứng đầu cuộc điều tra của Assured, cho biết các nhà vận hành ngày càng chọn tạm ngừng dịch vụ để bảo vệ thông tin khách hàng, trong khi quá trình khôi phục chậm cho thấy việc mở lại an toàn khó khăn đến mức nào. Nhận định của ông nêu bật vấn đề vận hành cốt lõi: chặn truy cập có thể thực hiện nhanh chóng, nhưng để khôi phục cần hoàn tất công việc xử lý các vấn đề bên dưới.

Bản vá chỉ là một phần của quá trình mở lại

Việc gián đoạn tại Bandai Namco cho thấy vì sao các dịch vụ thuộc cùng một tập đoàn có thể hoạt động trở lại vào những thời điểm khác nhau. Tập đoàn dự kiến mở lại cửa hàng hàng hóa vào ngày 27 tháng 10, trong khi kết nối của các trò chơi điện tử thùng vẫn bị tạm ngừng. Việc cập nhật các hệ thống cần thiết để cài đặt bản vá PHP mất nhiều thời gian.

Một số dịch vụ cũng đang cân nhắc tạm thời chuyển dữ liệu sang máy chủ của công ty khác đã được kiểm tra an toàn. Cách này sẽ thay đổi nơi vận hành dịch vụ trong khi các nhóm xử lý môi trường bị ảnh hưởng, đồng thời đòi hỏi thêm khâu chuẩn bị trước khi khách hàng có thể quay lại.

Daiwa Securities đã khôi phục một số phần trên trang web, trong đó có mục câu hỏi thường gặp, nhưng khách hàng vẫn chưa thể đăng ký mở tài khoản hoặc đổi địa chỉ vào ngày 26 tháng 10. Như vậy, trang thông tin vẫn hoạt động trong khi các thủ tục dành cho khách hàng bị gián đoạn.

IPA giải thích rằng các hệ thống lâu ngày không được cập nhật có thể cần chỉnh sửa mã ứng dụng và kiểm tra xem các chức năng còn hoạt động sau khi cập nhật PHP hay không. Thiếu tài liệu phát triển, không có nhân viên am hiểu hệ thống và hợp đồng bảo trì đã hết hạn có thể khiến công việc khó khăn hơn. JPCERT/CC khuyến nghị kiểm thử đầy đủ rồi nhanh chóng cài đặt các phiên bản đã được sửa lỗi.

Những phiên bản nào cần được chú ý?

IPA và JPCERT/CC nêu bốn bản phát hành PHP đã khắc phục hai lỗ hổng ban đầu: PHP 8.2.35, 8.3.36, 8.4.27 và 8.5.12. Các bản phát hành trước đó trong mỗi nhánh phiên bản này đều bị ảnh hưởng. Nhà vận hành cần xác định bản sửa phù hợp với nhánh PHP mà hệ thống đang sử dụng, đồng thời kiểm tra hướng dẫn từ nhà cung cấp phần mềm hoặc hệ điều hành.

Các hệ thống cài đặt phiên bản cũ còn gặp thêm một vấn đề. IPA dẫn kết quả của công ty an ninh mạng Wiz, theo đó các phiên bản từ PHP 5.4 trở đi đều bị ảnh hưởng bởi ít nhất một trong hai lỗ hổng. PHP 8.1 và các phiên bản cũ hơn đã hết thời hạn hỗ trợ, nghĩa là không còn nhận được hoạt động bảo trì thông thường dành cho các phiên bản được hỗ trợ.

IPA khuyến nghị chuyển sang các phiên bản PHP được hỗ trợ hoặc sử dụng sản phẩm và dịch vụ có sẵn biện pháp bảo vệ khi chưa có bản sửa lỗi. JPCERT/CC cho biết thêm các nhà phát triển PHP đã cung cấp biện pháp giảm thiểu hạn chế cho PHP 7.4, 8.0 và 8.1 do mức độ nghiêm trọng của các lỗ hổng.

Biện pháp giảm thiểu tạm thời giúp hạn chế nguy cơ bị khai thác qua một số phương thức tấn công nhất định. JPCERT/CC cho biết cập nhật phần mềm mới là cách khắc phục các lỗ hổng ban đầu, do đó các tổ chức đang dùng thiết lập tạm thời vẫn cần lên kế hoạch cập nhật hoặc chuyển đổi phần mềm cho hệ thống của mình.

Nỗ lực tấn công làm tăng tính cấp bách

Bản cập nhật ngày 26 tháng 10 của JPCERT/CC cho cảnh báo lỗ hổng PHP cho biết đã xuất hiện nhiều đoạn mã minh họa được cho là dùng để khai thác các lỗ hổng. Cơ quan này cũng dẫn các báo cáo lặp lại về lưu lượng mạng có dấu hiệu tìm cách khai thác.

Việc những đoạn mã đó có thành công hay không phụ thuộc vào các yếu tố như phiên bản PHP, môi trường thực thi và cách sắp xếp dữ liệu trong bộ nhớ. JPCERT/CC cảnh báo có thể xuất hiện thêm phương thức tấn công và kỹ thuật nhắm vào các môi trường cụ thể, đồng thời khuyến nghị cập nhật phần mềm và điều tra khả năng hệ thống đã bị xâm nhập.

Hướng dẫn điều tra của cơ quan này bao gồm việc kiểm tra các cookie PHPSESSID dài bất thường hoặc có định dạng lạ; cookie này chứa thông tin dùng để nhận diện phiên làm việc của trình duyệt. Những dấu hiệu cảnh báo khác gồm các yêu cầu đáng ngờ sử dụng multipart/form-data, định dạng thường dùng để tải tệp lên, đặc biệt khi xuất hiện gần thời điểm xảy ra lỗi giới hạn bộ nhớ hoặc lỗi HTTP 500 báo hiệu sự cố máy chủ.

Các dấu hiệu cần kiểm tra khác gồm sự cố dừng đột ngột không mong muốn hoặc tiến trình xử lý PHP thường xuyên khởi động lại. Đây là các tiến trình xử lý những tác vụ gửi đến. JPCERT/CC cũng khuyến nghị kiểm tra các tiến trình đáng ngờ, kết nối ra bên ngoài và tệp mới được tạo, đồng thời tiếp tục giám sát. Nếu nghi ngờ hệ thống bị xâm nhập, cơ quan này khuyến nghị lưu giữ nhật ký và bằng chứng khác, điều tra khu vực bị ảnh hưởng và cách ly hệ thống khi cần thiết.

Lỗ hổng thứ ba đòi hỏi thay đổi thiết lập

Các nhà phát triển PHP công bố CVE-2026-115560 vào ngày 23 tháng 10, bổ sung một nhiệm vụ khác trong quá trình ứng phó. JPCERT/CC cho biết lỗ hổng này có thể cho phép thực thi mã tùy ý khi một số thiết lập cấu hình kết hợp với mã ứng dụng nhất định.

Các nhà phát triển mô tả cấu hình bị ảnh hưởng là không phổ biến và dự kiến khắc phục trong chu kỳ phát hành thông thường. Trước khi có bản phát hành đó, JPCERT/CC truyền đạt khuyến nghị đặt session.upload_progress.enabled=0 và khởi động lại tất cả tiến trình xử lý. Bản cập nhật ngày 26 tháng 10 của cơ quan này không nêu ngày phát hành bản sửa lỗi.

Thiết lập tương tự đã được khuyến nghị như một biện pháp giảm thiểu cho CVE-2026-109619. Theo cảnh báo, các nhà vận hành đã áp dụng thiết lập này không cần lặp lại bước cấu hình đó. Tuy vậy, các nhóm vẫn cần tính đến cả hai lỗ hổng ban đầu lẫn vấn đề mới này khi kiểm tra hệ thống.

Một số tổ chức phải đưa ra quyết định lớn hơn

Khuyến nghị của IPA không chỉ giới hạn ở việc sửa chữa trước mắt. Cơ quan này đề nghị các tổ chức xem xét hệ thống còn phục vụ mục đích gì, mức độ sử dụng ra sao và liệu có dịch vụ nào khác thay thế được hay không. Với phần mềm đã lâu không được bảo trì, việc khôi phục dịch vụ có thể đòi hỏi quyết định về đơn vị sẽ hỗ trợ hệ thống sau đó.

IPA cho biết lãnh đạo doanh nghiệp và các cấp quản lý, cùng với nhân viên kỹ thuật, nên đánh giá liệu họ có thể bố trí nhân lực, ngân sách và kế hoạch bảo trì cần thiết để cập nhật hoặc chuyển đổi hệ thống, cũng như duy trì hoạt động hay không. Nếu có thể đảm bảo nguồn lực hỗ trợ đó, cơ quan này khuyến nghị tiến hành cập nhật hoặc chuyển sang dịch vụ được bảo vệ.

Nếu không thể bố trí hoạt động bảo trì liên tục, IPA liệt kê các phương án khác: chuyển sang sản phẩm có hỗ trợ, giảm bớt chức năng, chấm dứt truy cập công khai hoặc ngừng hệ thống. Cơ quan này cũng kêu gọi lập kế hoạch lưu giữ hoặc chuyển giao dữ liệu cần thiết, đồng thời giải thích cho người dùng về các phương án thay thế.

Thách thức trước mắt trải dài từ việc cài đặt các bản phát hành PHP cụ thể đến khôi phục từng chức năng phục vụ khách hàng. Kế hoạch mở lại cửa hàng của Bandai Namco vào ngày 27 tháng 10 là một bước đã được lên lịch, trong khi 465 dịch vụ chưa có thông báo mở lại được xác nhận trong thống kê của Assured cho thấy công tác cập nhật tình trạng công khai vẫn còn nhiều việc vào ngày 26 tháng 10.

Điểm chính

• Assured thống kê có 1.090 dịch vụ tại Nhật Bản tạm ngừng hoạt động tính đến 3 giờ chiều ngày 26 tháng 10, tăng từ 502 dịch vụ vào ngày 23 tháng 10.
• Chưa xác nhận thông báo mở lại của 465 dịch vụ, tương đương khoảng 43% tổng số.
• Các lỗ hổng PHP2shell có thể cho phép kẻ tấn công từ xa chạy mã với quyền của tiến trình PHP.
• Các bản phát hành đã khắc phục hai lỗ hổng ban đầu là PHP 8.2.35, 8.3.36, 8.4.27 và 8.5.12.
• JPCERT/CC cảnh báo đã có mã minh họa được công bố và các báo cáo về nỗ lực khai thác lỗ hổng.
• Một lỗ hổng thứ ba đòi hỏi thay đổi cấu hình tạm thời và khởi động lại toàn bộ tiến trình xử lý trong khi chờ bản sửa lỗi.
• Bandai Namco dự kiến mở lại cửa hàng hàng hóa vào trưa ngày 27 tháng 10; một số kết nối trò chơi điện tử thùng và thủ tục của Daiwa Securities vẫn bị tạm ngừng vào ngày 26 tháng 10.