Lỗ hổng PHP tháng 10/2026: chủ website cần kiểm tra và yêu cầu nhà cung cấp hosting vá ngay

Ngày 21/10/2026, nhóm phát triển PHP công bố hai lỗ hổng bảo mật nghiêm trọng, cho phép kẻ xấu can thiệp vào máy chủ mà không cần tài khoản đăng nhập. PHP đang chạy phía sau khoảng 70% website, trong đó có WordPress, nên rất có thể trang bán hàng hay trang giới thiệu của bạn cũng nằm trong số đó.

Tin tốt là bạn không cần biết code để xử lý. Việc chính chỉ là kiểm tra phiên bản và nhắn bên hosting.

Lỗ hổng PHP tháng 10/2026 là gì và vì sao nghiêm trọng

Hai lỗ hổng có mã CVE-2026-109618 và CVE-2026-109619. Nói đơn giản: kẻ xấu có thể khiến máy chủ chạy lệnh của họ chỉ bằng cách gửi yêu cầu tới website, không cần mật khẩu hay tài khoản gì cả.

Theo TechCrunch, lỗi nằm trong mọi phiên bản tính từ PHP 5, tức là đã tồn tại từ khoảng năm 2004. Một số ước tính cho rằng hơn 33 triệu website chạy PHP. Cơ quan an ninh NSA của Mỹ cũng lên tiếng: nếu chưa vá ngay được thì nên tạm gỡ site xuống cho tới khi vá xong.

Điểm đỡ lo hơn một chút: lỗi được công bố theo kiểu có trách nhiệm, tức là các bên phân phối được báo trước để chuẩn bị bản vá, và lúc công bố chưa ghi nhận trường hợp bị khai thác ngoài thực tế. Nhưng “chưa ghi nhận” không có nghĩa là sẽ không xảy ra.

Website WordPress của bạn có bị ảnh hưởng không

Theo thông báo chính thức của PHP, mọi bản cài PHP đang phục vụ website đều nằm trong diện rủi ro, dù máy chủ chạy theo kiểu nào (PHP-FPM, Apache mod_php, php-cgi, FrankenPHP hay LiteSpeed). PHP đánh giá rủi ro cao nhất với kiểu Apache mod_php.

Nếu bạn dùng WordPress, đây là chỗ dễ hiểu nhầm. Cập nhật WordPress, theme hay plugin không giải quyết được chuyện này. Phía WordPress đã nói rõ lỗi không riêng gì WordPress, chủ site cần vá ở máy chủ và làm việc với nhà cung cấp hosting. Nói cách khác, lỗi nằm ở “nền nhà” chứ không phải ở “đồ đạc” trong nhà.

Các bản đã được vá là PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Còn PHP 8.1 trở xuống thì dự án PHP không cập nhật nữa. Nếu website của bạn còn chạy bản cũ như vậy, đây là lúc nên nâng lên bản còn được hỗ trợ.

Cách kiểm tra phiên bản PHP và nhắn hosting để vá

Với WordPress, bạn có thể vào trang quản trị, mở mục Công cụ, chọn Tình trạng trang web, sang tab Thông tin và xem phần Máy chủ. Ở đó có ghi phiên bản PHP. Nhiều trang quản lý hosting cũng có mục chọn phiên bản PHP.

Có một điều cần biết: con số phiên bản không phải lúc nào cũng nói hết. PHP cho biết các bản phân phối Linux và nhà cung cấp hỗ trợ dài hạn đã nhận bản vá từ trước, và một số bên vá lại cho cả bản cũ. Vì vậy cách chắc nhất vẫn là hỏi thẳng bên hosting. Bạn có thể dùng tin nhắn mẫu dưới đây:

Chào anh/chị, website của em là [tên miền]. Ngày 21/10/2026 PHP vừa công bố hai lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619. Bên mình đã cập nhật PHP lên bản vá (8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35) hoặc đã áp bản vá tương đương cho máy chủ của em chưa ạ? Nếu chưa, khi nào bên mình xử lý xong? Website em đang chạy PHP [phiên bản], nếu bản này hết hỗ trợ thì em cần làm gì để chuyển lên bản mới? Em cảm ơn.

Nếu bạn tự quản máy chủ hoặc có người làm kỹ thuật giúp, thông báo của PHP có liệt kê vài biện pháp tạm thời cho người quản trị máy chủ, kèm lời nhắn rõ: chúng chỉ giảm rủi ro, không làm máy chủ an toàn. Phần này nên để người rành kỹ thuật xử lý, vì chỉ cần một bước làm sai là có thể ảnh hưởng đến toàn bộ website đang chạy.

Chủ website nên làm gì ngay hôm nay?

Với một website đang kinh doanh, vài bước dưới đây là đủ để nắm tình hình trong ngày hôm nay. Không cần chờ đến khi có hướng dẫn chi tiết hơn.

Bước 1: Xác định phiên bản PHP đang chạy. Nếu dùng WordPress, vào Công cụ > Tình trạng trang web > tab Thông tin > phần Máy chủ. Nếu dùng hosting có trang quản trị riêng, tìm mục cấu hình phiên bản PHP.

Bước 2: Gửi tin nhắn cho hosting. Dùng mẫu tin nhắn ở trên, điền tên miền và phiên bản PHP. Hỏi rõ hai việc: đã áp bản vá chưa, và nếu bản hiện tại đã hết hỗ trợ thì cần làm gì để chuyển lên bản mới.

Bước 3: Ghi lại mốc thời gian phản hồi. Khi đã có câu trả lời, lưu lại thời điểm hosting xác nhận. Đây là căn cứ để bạn theo dõi và nhắc lại nếu cần, đồng thời cũng là thông tin hữu ích khi làm việc với đơn vị kỹ thuật sau này.

Trong lúc chờ, hạn chế cài thêm plugin hay theme mới từ nguồn không rõ ràng, và sao lưu dữ liệu website nếu chưa có bản sao lưu gần đây. Đây là những việc nhỏ nhưng giúp bạn chủ động hơn nếu tình huống xấu xảy ra.

Thông tin liên hệ:

• Chi Nhánh HCM: 201 Bông Sao , Phường Bình Đông , TP.HCM (Phường 5, Quận 8 cũ)
• Chi Nhánh Vũng Tàu: 197 Đường 30/4, Phường Rạch Dừa, TP.HCM (TP. Vũng Tàu cũ)
• Website: www.thuancomputer.com
• Hotline: 0937.801.009
• E-mail: cskh@nguyenthuancomputer.vn