PHP2Shell: từ 48 giờ vá khẩn sang dư chấn dài hạn
php2shell-rce · 🛡️ An ninh mạng · trung mô · developing · 2 ngày (2026-10-23 → 2026-10-24)
Hai lỗ hổng RCE PHP (CVE-2026-109618/109619) khiến giới an ninh toàn cầu thức trắng 48 giờ; nhiều website chính phủ (Nhật, VN) từng bị gỡ rồi hoạt động lại từ 22/10. Khai thác diễn ra chậm hơn dự kiến nhưng có hàng triệu lượt thử, botnet Mirai biến thể Potassium tham gia và đã có kỹ thuật vượt ASLR; chưa xác nhận xâm nhập thành công. PHP lại cảnh báo thêm một RCE chưa vá (CVE-2026-115560) với cấu hình bất thường. SANS đã hạ Infocon về Green.
Vì sao quan trọng: Cho thấy chi phí vá hàng loạt cho hệ thống PHP legacy kéo dài nhiều năm; tồn dư máy chủ chưa vá thành nguồn botnet lâu dài. Narrative 'AI phát hiện lỗi' làm tăng áp lực lên chu kỳ vá.
Diễn biến
2026-10-24 — developing
Hai lỗ hổng RCE PHP (CVE-2026-109618/109619) khiến giới an ninh toàn cầu thức trắng 48 giờ; nhiều website chính phủ (Nhật, VN) từng bị gỡ rồi hoạt động lại từ 22/10. Khai thác diễn ra chậm hơn dự kiến nhưng có hàng triệu lượt thử, botnet Mirai biến thể Potassium tham gia và đã có kỹ thuật vượt ASLR; chưa xác nhận xâm nhập thành công. PHP lại cảnh báo thêm một RCE chưa vá (CVE-2026-115560) với cấu hình bất thường. SANS đã hạ Infocon về Green.
- Mới: Pha cấp cứu hạ nhiệt (SANS về Green, web chính phủ hoạt động lại), nhưng xuất hiện ASLR bypass, Mirai, thêm CVE-2026-115560; truyền thông gọi là 'Black October'.
- Việt Nam: Nhiều website chính phủ VN từng bị ảnh hưởng; Cục An ninh mạng và NCA đã khuyến cáo vá. Hệ sinh thái PHP/WordPress/Laravel của doanh nghiệp VN rất lớn, nhiều hosting chia sẻ chậm vá nên rủi ro bị gắn vào botnet cao.
- Theo dõi: Số máy chủ PHP chưa vá trên Shodan/Censys; Khai thác thành công đầu tiên có xác nhận hoặc vào CISA KEV; Chi tiết CVE-2026-115560 và bản vá
vi môRCE không cần xác thực trong PHP bị khai thác trước/ngay khi công bố
→Thương mại & chuỗi cung ứng phần mềm
trung môHàng triệu máy chủ PHP, CMS, website chính phủ phải vá/tạm gỡ; Mirai tận dụng
→Kỳ vọng & niềm tin / Chính sách
vĩ môNiềm tin vào chu kỳ vá và ngôn ngữ nền tảng giảm; cơ quan chức năng ban hướng dẫn khẩn
2026-10-23 — escalating
PHP phát hành 8.5.12, 8.4.27, 8.3.36, 8.2.35 vá hai lỗi RCE không cần xác thực (CVE-2026-109618/109619). Amazon MadPot ghi nhận khai thác từ 17/10, sớm 4 ngày trước công bố, và khai thác hàng loạt bắt đầu ngay sau khi có bản vá. Palo Alto xác nhận mọi phiên bản PAN-OS và Panorama bị ảnh hưởng nhưng chưa có bản vá. Một blog cho rằng chưa có exploit dễ dùng, còn Searchlight Cyber đã tung scanner mã nguồn mở.
- Mới: Có bằng chứng khai thác từ 17/10, Palo Alto xác nhận ảnh hưởng, scanner công khai ra mắt.
- Việt Nam: Nhiều website, hosting và hệ thống cơ quan, doanh nghiệp Việt dùng PHP (WordPress, Laravel) và tường lửa Palo Alto. Cần cập nhật PHP và áp biện pháp giảm thiểu cho PAN-OS.
- Theo dõi: Bản vá PAN-OS/Panorama của Palo Alto; CISA KEV và số vụ khai thác hàng loạt; Kết quả quét php2shell-scanner trên hạ tầng của mình
vi môLỗi PHP cho phép thực thi mã từ xa không cần đăng nhập
→Chuỗi cung ứng phần mềm và thiết bị biên
trung môVendor dùng PHP như Palo Alto PAN-OS, Fortinet, Cisco bị ảnh hưởng, Palo Alto chưa có bản vá
→Kỳ vọng và quy trình vận hành an ninh
vĩ môKhoảng cách từ lỗ hổng đến khai thác co lại, buộc phải vá và giám sát liên tục
Nguồn tin (23)
| # | Bài | Nguồn | Chủ đề | Mức |
|---|---|---|---|---|
| 7370 | PHP security flaws prompt Japan to take websites down while US keeps them up Lỗ hổng bảo mật PHP khiến Nhật Bản gỡ các website, trong khi Mỹ vẫn giữ hoạt động các website tương tự. |
asia.nikkei.com 24/10 20:12 |
🛡️ 0.9 | 3 · trung mô |
| 6501 | '48 giờ không ngủ' chạy đua vá lỗ hổng an ninh mạng PHP toàn cầu Lỗ hổng PHP buộc các nhóm an ninh mạng toàn cầu chạy đua vá lỗi và rà soát hệ thống; một chuyên gia gọi tháng 10 là "tháng địa ngục" của ngành công nghệ. |
tuoitre.vn 24/10 20:12 |
🛡️ 0.9 | 4 · vĩ mô |
| 6521 | Nhiều website chính phủ hoạt động trở lại, khắc phục lỗ hổng PHP có thể mất nhiều năm Ngày 22-10, nhiều website chính phủ hoạt động trở lại sau khi vá lỗ hổng PHP, nhưng nguy cơ tin tặc khai thác vẫn còn và khắc phục có thể kéo dài nhiều năm. |
tuoitre.vn 24/10 20:12 |
🛡️ 0.9 | 4 · trung mô |
| 7273 | 48 tiếng không ngủ của giới an ninh mạng Nhiều chuyên gia bảo mật thức trắng hai ngày để vá lỗ hổng ẩn trong ngôn ngữ PHP trước khi tin tặc kịp phát động các cuộc tấn công diện rộng. |
vnexpress.net 24/10 08:00 |
🛡️ 0.9 | 4 · trung mô |
| 7240 | (Reliable)? php2shell exploitability, (Fri, Oct 23rd) SANS ISC phân tích khả năng khai thác thực tế lỗ hổng php2shell trong PHP, lỗ hổng khiến nhiều đơn vị bảo mật phải khẩn cấp rà soát hệ thống hôm trước. |
isc.sans.edu 24/10 03:04 |
🛡️ 0.9 | 4 · trung mô |
| 7135 | Exposed to PHP2Shell? Cyber Experts Weigh in With Advice Lỗ hổng PHP nghiêm trọng (php2shell) không thể xử lý chỉ bằng cập nhật; chuyên gia đưa ra cách đánh giá mức rủi ro và biện pháp tự bảo vệ hệ thống. |
darkreading.com 24/10 02:41 |
🛡️ 0.9 | 4 · trung mô |
| 7492 | ‘Black October’: cybersecurity experts sound the alarm over new era of AI-enabled hacking Giới chuyên gia an ninh cảnh báo làn sóng lỗ hổng do AI hỗ trợ sau khi phát hiện lỗi nghiêm trọng trong PHP, dự báo AI sẽ phơi bày ngày càng nhiều lỗ hổng phần mềm. |
theguardian.com 24/10 01:48 |
🛡️ 0.9 🤖 0.5 | 4 · trung mô |
| 7102 | AI's 'Black October': Critical PHP flaws set off global security scramble Các lỗ hổng PHP nghiêm trọng bị rò rỉ lên mạng, khiến chính phủ và doanh nghiệp toàn cầu khẩn trương ứng phó. Bài gọi đây là 'Black October' của AI. |
cnbc.com 23/10 23:55 |
🛡️ 0.9 🤖 0.4 | 4 · vĩ mô |
| 7132 | PHP exploitation moves at slower-than-expected pace, but millions remain at risk Việc khai thác lỗ hổng PHP diễn ra chậm hơn dự kiến, nhưng nhà nghiên cứu ghi nhận hoạt động botnet và hàng triệu máy chủ vẫn có nguy cơ bị tấn công. |
cybersecuritydive.com 23/10 23:46 |
🛡️ 0.9 | 3 · vĩ mô |
| 7242 | PHP Vulnerability Wrap-Up, (Fri, Oct 23rd) SANS ISC tổng kết lỗ hổng PHP vừa được cảnh báo khẩn, sau khi tạm nâng Infocon lên mức cảnh báo rồi đưa về mức Xanh (Green). |
isc.sans.edu 23/10 20:43 |
🛡️ 0.9 | 3 · trung mô |
| 7112 | Mirai Botnet Operators Join PHP2Shell Attacks as ASLR Bypass Exploits Emerge Nhà nghiên cứu liên hệ các nỗ lực khai thác PHP2Shell với botnet Mirai và trình bày kỹ thuật vượt ASLR; chưa xác nhận vụ xâm nhập thành công nào. |
securityweek.com 23/10 19:45 |
🛡️ 0.9 | 4 · trung mô |
| 7464 | 'It's been relentless' say IT workers on frontline of PHP cyber-security scramble Các chuyên gia IT và an ninh mạng kể với BBC về 48 giờ vất vả cập nhật hệ thống để ứng phó đợt khủng hoảng lỗ hổng PHP. |
bbc.co.uk 23/10 19:00 |
🛡️ 0.9 | 3 · trung mô |
| 7177 | PHP Warns of Another Unpatched RCE Risk Two Days After Emergency PHP2Shell Patches PHP cảnh báo một rủi ro RCE chưa vá (CVE-2026-115560) hai ngày sau khi vá khẩn các lỗ hổng PHP2Shell nghiêm trọng; lỗi chỉ ảnh hưởng ứng dụng web cấu hình theo cách bất thường. |
thehackernews.com 23/10 18:25 |
🛡️ 0.9 | 3 · trung mô |
| 6641 | Doanh nghiệp cần làm gì để bảo vệ trang web trước lỗ hổng PHP? Cục An ninh mạng và NCA cho biết hai lỗ hổng PHP CVE-2026-109618 và CVE-2026-109619 đã có bản vá chính thức; doanh nghiệp cần vá sớm để bảo vệ website. |
dantri.com.vn 23/10 15:51 |
🛡️ 0.9 | 3 · trung mô |
| 7182 | PHP2Shell Exploit Attempts Hit Millions as Attackers Try to Deploy Mirai Malware Tin tặc thử khai thác lỗ hổng PHP2Shell mới công bố để đưa hệ thống bị nhiễm vào botnet Mirai biến thể Potassium, nhưng các nỗ lực này chưa thành công. |
thehackernews.com 23/10 14:40 |
🛡️ 0.9 | 3 · trung mô |
| 5984 | I had plans for that second Bản blog của Talos chủ yếu bàn về việc bãi bỏ leap second, đồng thời đề cập các lỗ hổng PHP nghiêm trọng. |
blog.talosintelligence.com 23/10 01:04 |
🛡️ 0.6 | 2 · trung mô |
| 5868 | New Serious PHP Vulnerabilities Released and Patched PHP phát hành bản vá 8.5.12, 8.4.27, 8.3.36 và 8.2.35 khắc phục hai lỗ hổng nghiêm trọng cho phép thực thi mã từ xa không cần xác thực; mọi người dùng PHP được khuyến nghị cập nhật ngay. |
schneier.com 22/10 20:26 |
🛡️ 0.9 | 4 · trung mô |
| 5798 | Tech and Security Companies Respond to PHP2Shell Vulnerabilities Các nhà cung cấp công nghệ và công ty bảo mật đang kiểm tra sản phẩm về PHP2Shell, bổ sung phát hiện, còn chính phủ kêu gọi vá ngay. |
securityweek.com 22/10 19:20 |
🛡️ 0.9 | 3 · trung mô |
| 5830 | New PHP2Shell scanner checks your hosts for CVE-2026-109618 and CVE-2026-109619 Searchlight Cyber phát hành công cụ mã nguồn mở php2shell-scanner để kiểm tra máy chủ có bị lộ hai lỗ hổng RCE của PHP (CVE-2026-109618 và CVE-2026-109619) hay không. |
helpnetsecurity.com 22/10 19:03 |
🛡️ 0.9 | 2 · vi mô |
| 5854 | What the PHP2Shell vulnerability means for Fortinet, Cisco and Palo Alto customers Palo Alto Networks xác nhận mọi phiên bản PAN-OS và Panorama bị ảnh hưởng bởi PHP2Shell, lỗi PHP nghiêm trọng cho phép thực thi mã không cần đăng nhập; Palo Alto chưa có bản vá. |
helpnetsecurity.com 22/10 17:22 |
🛡️ 0.9 | 5 · trung mô |
| 5805 | PHP2Shell Exploitation Started Days Before Patches Các nỗ lực khai thác PHP2Shell được ghi nhận từ ngày 17/10, trước khi có bản vá; hoạt động khai thác hàng loạt bắt đầu ngay sau khi bản vá được phát hành. |
securityweek.com 22/10 16:48 |
🛡️ 0.9 | 4 · trung mô |
| 5976 | Someone Tried to Exploit PHP2Shell 4 Days Before the Vulnerabilities Were Publicly Disclosed Amazon phát hiện nỗ lực khai thác PHP2Shell từ ngày 17/10 trên honeypot MadPot, sớm 4 ngày trước khi lỗ hổng được công bố công khai. |
thehackernews.com 22/10 13:34 |
🛡️ 0.9 | 3 · trung mô |
| 6068 | There isn't an easy exploit for this PHP vulnerability Bài blog cho rằng lỗ hổng PHP mới hiện chưa có exploit dễ dàng, theo tiêu đề bài viết; nội dung chi tiết chưa được cung cấp trong mô tả RSS. |
eliastaylor.com 22/10 06:13 |
🛡️ 0.8 | 3 · trung mô |