AI phát hiện lỗ hổng bảo mật cực kỳ nguy hiểm trong mã nguồn PHP

Khi bạn mua hàng thông qua các liên kết trong bài viết của chúng tôi, chúng tôi có thể nhận được một khoản hoa hồng nhỏ. Điều này không ảnh hưởng đến tính độc lập trong biên tập của chúng tôi.

AI đã giúp lật tẩy một cơn ác mộng bảo mật trong bộ khung của web. Bạn có nên lo lắng không?

Nếu bạn ở một độ tuổi nhất định, "PHP" có thể gợi lại những ký ức về việc phát triển web thời kỳ đầu những năm 1990. Trong những thập kỷ kể từ đó, ngôn ngữ kịch bản này vẫn âm thầm hoạt động ở chế độ nền, được sử dụng bởi các nền tảng phổ biến như WordPress. Nhưng ngay trong tuần này, nó đột nhiên thu hút sự chú ý lớn khi internet chấn động trước hai lỗ hổng rủi ro cao.

Nếu bạn không phải là quản trị viên máy chủ, bạn có thể tự hỏi mối nguy hiểm thực sự là gì. Trên thực tế, nếu quản trị viên của các trang web bạn sử dụng hoặc quản lý phản ứng đủ nhanh, bạn có thể không nhận thấy bất kỳ điều gì.

Vậy PHP là gì? Và nó có ảnh hưởng đến bạn không? Dưới đây là những điều bạn cần biết.

PHP là gì?

PHP được biết đến là một ngôn ngữ kịch bản đa mục đích thường được sử dụng trong phát triển web. Chạy trên máy chủ, nó cho phép các trang web xử lý các thao tác phức tạp mà không cần phải nhúng các lệnh hoặc nội dung vào bên trong các trang. Ví dụ về đầu ra được tạo động bao gồm hiển thị ngày tháng hiện tại trên lịch, HTML và PDF, thậm chí cả các tệp JSON và XML cho mục đích lưu trữ đệm.

Nhiều trang web sử dụng ngôn ngữ phía máy chủ để phục vụ nội dung, và trong số những trang web đó, một số nguồn ước tính gần 70% dựa vào PHP. Trên phạm vi internet rộng lớn hơn, người ta tin rằng khoảng 40% tất cả các trang web đang chạy trên WordPress—một bên áp dụng PHP lớn.

Tại sao PHP lại bùng nổ trên tin tức?

Vào ngày 20 tháng 10 năm 2026, Nhóm PHP (đơn vị duy trì PHP) đã phát hành cảnh báo về các bản cập nhật bảo mật sắp tới, được thiết kế để vá hai lỗ hổng có rủi ro rất cao sau đó được đặt tên là CVE-2026-109618 và CVE-2026-109619. Cả hai đều cho phép kẻ tấn công thực thi mã từ xa, mang xếp hạng mức độ nghiêm trọng là 9,2 trên 10 và ảnh hưởng đến "tất cả các cài đặt PHP phục vụ yêu cầu web", theo Nhóm PHP.

Thông báo này đã châm ngòi cho một làn sóng hoảng loạn trên web, khi các quản trị viên máy chủ hối hả chuẩn bị cho các phiên bản PHP đã vá. Khi thông tin chi tiết về hai lỗ hổng được công bố vào ngày hôm sau, 21 tháng 10, các trang web trên khắp internet bắt đầu ngoại tuyến tạm thời khi việc nâng cấp PHP hoàn tất—bao gồm cả các trang web chính phủ ở Hà Lan, Pháp và Đức.

Tại sao đây là một vấn đề lớn?

Hai lý do chính: Số lượng trang web bị ảnh hưởng và tốc độ mà các lỗ hổng hiện có thể bị khai thác.

Về mặt lý thuyết, nếu không được vá, hơn một nửa internet có nguy cơ bị hack. Đồng thời, trong kỷ nguyên AI hiện nay, các cuộc khai thác có thể được triển khai nhanh chóng— đôi khi chỉ trong vòng vài phút.

Trong kỷ nguyên trước AI, các lỗ hổng có thể mất vài ngày, vài tuần hoặc thậm chí vài tháng trước khi một bản khai thác xuất hiện, và sự lan rộng của các cuộc tấn công đó cũng chậm hơn. Việc phát hiện ra chúng cũng mất nhiều thời gian hơn. Và AI không chỉ gia tăng mối đe dọa—nó còn giúp các nhà nghiên cứu phát hiện ra những lỗ hổng này ngay từ đầu.

Điểm cuối cùng đó đặc biệt đáng chú ý. Các nhà nghiên cứu tại Wiz đã sử dụng các mô hình AI tiên tiến bao gồm Google Gemini 4 Argon và OpenAI GPT-5.6 Sol trong khi khám phá ra các lỗi và phát triển các mã khai thác hoạt động được. Theo Wiz, AI đã giúp biến các lỗ hổng ẩn nấp trong PHP hơn một thập kỷ thành thứ mà một nhà nghiên cứu duy nhất có thể khai thác trong một tuần — một nhiệm vụ mà công ty ước tính trước đây có thể mất nhiều tháng đối với một đội ngũ bảo mật đẳng cấp thế giới. Đó là con dao hai lưỡi ở đây: AI có thể giúp những người phòng thủ phát hiện ra các lỗi nguy hiểm trước tin tặc, nhưng nó cũng nhanh chóng làm giảm thời gian và chuyên môn cần thiết để biến các lỗi mờ ám thành các cuộc tấn công hoạt động được.

Bản cập nhật PHP nào bao gồm các bản vá bảo mật?

Nhóm PHP chỉ trực tiếp phát hành các bản vá trong các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Nếu một trang web dựa vào phiên bản cũ hơn, họ phải nhận các bản sửa lỗi bảo mật cần thiết thông qua nhà cung cấp giúp duy trì phiên bản cũ hơn đó.

Bạn sẽ bị ảnh hưởng như thế nào?

Một số trang web có thể ngoại tuyến hoặc vẫn ngoại tuyến cho đến khi ở phiên bản PHP an toàn. Nhưng tính đến buổi chiều tại Mỹ, nhiều trang đang hoạt động bình thường. Bạn sẽ có thể truy cập các trang web như bình thường.

Nếu bạn quản lý một trang web sử dụng PHP, hãy xác minh nó đã được cập nhật lên một trong các phiên bản PHP đã vá. Bạn thực sự có thể không phải làm gì cả—một số máy chủ web người tiêu dùng đang âm thầm xử lý công việc này ở chế độ nền. Đối với những người theo trường phái kỹ thuật—ví dụ: chạy PHP như một phần của NAS, Raspberry Pi hoặc thiết lập khác—bạn nên đội chiếc mũ quản trị viên máy chủ của mình và đảm bảo cập nhật đúng cách.

Tôi có cần bảo vệ mình chống lại các trang web chưa vá không?

Nói chung là có. Ngay cả khi đã có hệ thống phòng thủ tường lửa của máy chủ (hoặc dịch vụ khác) tại chỗ, một trang web sử dụng phiên bản PHP chưa vá vẫn có thể bị tấn công và sử dụng để chạy mã từ xa, nghĩa là nó có thể:

• Phát tán phần mềm độc hại
• Trộm dữ liệu từ máy chủ
• Xóa dữ liệu trên máy chủ

Khi lướt internet, phòng thủ tốt nhất của bạn vẫn là lời khuyên tiêu chuẩn. Giữ cho trình duyệt và phần mềm chống vi-rút của bạn luôn được cập nhật, đồng thời chỉ chia sẻ thông tin cần thiết về bạn với các trang web.

Nếu bạn đang lưu trữ dữ liệu trên một trang web, hãy đảm bảo bạn có bản sao lưu của dữ liệu đó—chỉ để đề phòng.

Làm cách nào để biết trang web WordPress của tôi có an toàn không?

Máy chủ web của bạn có thể hiển thị đầy đủ chi tiết về phiên bản PHP của bạn trong bảng điều khiển quản lý chung. Nếu không, hãy kiểm tra trong bảng điều khiển quản trị của WordPress.

Ở thanh điều hướng bên trái, hãy tìm Tools, sau đó chọn Site Health. Bạn sẽ thấy hai tab ở phần chính của màn hình. Chọn Info, sau đó chọn phần Server. Màn hình thả xuống sẽ hiển thị phiên bản PHP của bạn.