Công ty bảo mật Wiz Research đã tiết lộ một loạt lỗ hổng nghiêm trọng trong công cụ PHP cốt lõi vào ngày 21 tháng 10 năm 2026, cảnh báo rằng các lỗ hổng — được gọi chung là PHP2Shell — cho phép thực thi mã từ xa không được xác thực và tiết lộ bộ nhớ theo kiểu Heartbleed trên phần mềm chiếm khoảng 70% tổng số trang web. Dự án PHP đã phát hành các bản vá lỗi cùng ngày và Wiz đang thúc giục cập nhật ngay lập tức trên cơ sở cài đặt khổng lồ của web.
PHP là xương sống của phần lớn Internet: nó hỗ trợ WordPress, Joomla, Drupal và MediaWiki, phần mềm chạy Wikipedia. Điều quan trọng là các lỗi mới được tiết lộ nằm trong công cụ cốt lõi của PHP chứ không phải trong bất kỳ ứng dụng nào được xây dựng trên đó, có nghĩa là các trang web có thể bị lộ ngay cả khi mã ứng dụng của chính chúng được bảo mật. For more context on this story, see our ongoing AI industry coverage.
Lỗ hổng là gì
Theo bài viết kỹ thuật của Wiz của các nhà nghiên cứu Sagi Tzadik, Shir Tamari, Nir Ohfeld và Tomer Schwartz, tất cả các lỗi được tiết lộ đều là vấn đề an toàn bộ nhớ bắt nguồn từ cách PHP xử lý các lỗi nghiêm trọng trong quá trình xử lý yêu cầu - đặc biệt là lỗi hết bộ nhớ. Một yêu cầu bị lỗi có thể để lại trạng thái PHP nội bộ bị hỏng và một yêu cầu hoặc nhân viên sau đó sử dụng lại trạng thái cũ đó có thể gây ra hiện tượng tiết lộ bộ nhớ hoặc hỏng bộ nhớ.
Các phát hiện được nhóm thành hai CVE với mức độ nghiêm trọng tối đa là CVSS 9.2:
- CVE-2026-109618 — một trình hủy tuần tự hóa quá trình tải lên không cần sử dụng mà kẻ tấn công có thể tận dụng để tiết lộ bộ nhớ quy trình từ xa và trong các chuỗi được chứng minh, thực thi mã hoàn toàn từ xa. Wiz đã chứng minh việc tiết lộ không được xác thực bộ nhớ nhân viên PHP và RCE xác thực trước trên WordPress, Drupal và Joomla.
- CVE-2026-109619 — một lỗi nghiêm trọng về backtrace use-after-free kết hợp với sự nhầm lẫn về loại OPcache, cũng được chứng minh là mang lại khả năng thực thi mã từ xa xác thực trước trên Drupal và WordPress.
Wiz cho biết bộ nhớ mà kẻ tấn công có thể đọc có thể chứa mật khẩu, mã thông báo xác thực, khóa API và chứng chỉ thuộc về các yêu cầu khác hoặc của chính máy chủ. Mọi phiên bản PHP được phát hành trong thập kỷ qua - quay trở lại PHP 5.4 - đều bị ảnh hưởng bởi ít nhất một trong các lỗ hổng và công ty cho biết những lỗ hổng này được xếp hạng trong số những lỗ hổng nghiêm trọng nhất từng được tìm thấy trong PHP.
AI xuất hiện ở đâu
Tuyên bố có hậu quả nhất trong báo cáo của Wiz hoàn toàn không phải về PHP - mà là về những gì các mô hình AI tiên tiến đã làm để khai thác sự phát triển.
Wiz viết, những sai sót cơ bản đã tồn tại trong nhiều thập kỷ, nhưng việc chứng minh khả năng khai thác đòi hỏi "một chuỗi các bước đặc biệt phức tạp, ở mức mà các nhà nghiên cứu con người có thể đạt được trên thực tế." Việc khai thác phải xâu chuỗi nhiều lỗ hổng và điều chỉnh theo bố cục bộ nhớ của từng mục tiêu thông qua thử nghiệm và gỡ lỗi lặp đi lặp lại.
Công ty cho biết các mô hình Frontier AI đã giảm đáng kể rào cản đó - "biến một lỗ hổng lâu đời thành một lỗ hổng" - và cho phép nhóm của Wiz phát triển và điều chỉnh các hoạt động khai thác trên nhiều ứng dụng trong vài giờ thay vì vài tuần.
Các nhà nghiên cứu viết: “Khi thời gian và chuyên môn cần thiết cho công việc này giảm đi, sự phức tạp có thể không còn tạo ra rào cản có ý nghĩa nữa, làm thay đổi cách chúng ta xác định những gì dễ bị tổn thương trong thực tế”.
Bước ngoặt của kỷ nguyên AI?
Wiz xác định rõ ràng PHP2Shell cùng với hai thời điểm mang tính bước ngoặt trước đó trong lĩnh vực bảo mật web: Heartbleed vào năm 2014, cho thấy sự mong manh của cơ sở hạ tầng dùng chung bảo mật Internet và Log4Shell vào năm 2021, cho thấy mức độ phụ thuộc phần mềm được nhúng sâu tạo ra mức độ phổ biến rộng rãi. Công ty cho rằng PHP2Shell có thể đánh dấu một bước ngoặt tương tự - lần này minh họa cách AI thay đổi khả năng khai thác thực tế các điểm yếu đã biết từ lâu.
Việc đóng khung đó quan trọng hơn PHP. Các lỗ hổng lý thuyết vốn nằm ngoài tầm với một cách an toàn vì việc khai thác chúng quá khó, quá chậm hoặc quá chuyên biệt giờ đây có thể nằm trong tầm ngắm của những kẻ tấn công có nguồn lực tốt được trang bị công cụ AI - một sự thay đổi có ý nghĩa rõ ràng đối với ngân sách quốc phòng, nhịp độ vá lỗi và các mốc thời gian tiết lộ trên toàn ngành công nghiệp phần mềm.
Một bản sửa lỗi phối hợp giữa các ngành
Việc tiết lộ đã được phối hợp. Wiz cảm ơn nhóm PHP và OpenAI vì công việc phát hiện, phối hợp và xác minh bản vá, lưu ý rằng cả OpenAI và PHP đều đã xuất bản các bài viết kỹ thuật của riêng họ về lịch sử và quy trình tiết lộ lỗ hổng.
Một nhóm liên ngành — bao gồm Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft và Vercel — đã chuẩn bị hướng dẫn và các biện pháp giảm thiểu sẵn có cho những khách hàng không thể vá lỗi ngay lập tức. Cloudflare đã thông báo riêng vào ngày 21 tháng 10 rằng họ đã triển khai các biện pháp bảo vệ WAF chống lại các lỗ hổng PHP cho khách hàng của mình.
Chủ sở hữu trang web nên làm gì
Lời khuyên từ Wiz rất thẳng thắn: hãy vá lỗi ngay lập tức. Dự án PHP đã phát hành các bản sửa lỗi cho các lỗ hổng an toàn bộ nhớ vào ngày 21 tháng 10 năm 2026 và mọi hoạt động triển khai PHP được hỗ trợ đều phải cập nhật sớm nhất có thể.
Các tổ chức không thể vá lỗi ngay lập tức nên áp dụng các biện pháp giảm nhẹ do nhà cung cấp CDN, dịch vụ lưu trữ hoặc WAF của họ công bố, một số trong số đó đã đưa ra các quy tắc nhắm mục tiêu vào chuỗi khai thác ngay từ ngày đầu tiên. Quản trị viên của nhóm WordPress, Drupal và Joomla nên coi đây là chu trình vá lỗi ưu tiên: Wiz đã chứng minh tính năng thực thi mã từ xa xác thực trước trên cả ba nền tảng và các đường dẫn mã dễ bị tấn công vẫn tồn tại bất kể các ứng dụng phía trên được duy trì tốt như thế nào.
Bài học sâu sắc hơn có thể là bài học mà chính Wiz đã rút ra: khi AI có thể nén kỹ thuật khai thác hàng tháng thành hàng giờ, định nghĩa hoạt động của ngành về "có thể khai thác được trên thực tế" — và cùng với đó, ý nghĩa của các mốc thời gian vá lỗi có trách nhiệm — vừa thay đổi.
---
Stay Ahead of AIGet the latest AI news, analysis, and breakthroughs — all in one place.
Read more AI news →
