<?php Kiểm tra bảo mật PHP độc lập
PHP của bạn có bị ảnh hưởng bởi PHP2Shell không?
Hai lỗ hổng nghiêm trọng nằm ngay trong PHP cho phép thực thi mã từ xa. Chúng đã được vá vào ngày 21 tháng 10 năm 2026. Hãy kiểm tra những gì một trang web tiết lộ về phiên bản PHP của nó, hoặc dán chuỗi phiên bản — rồi xem chính xác cần làm gì.
- Thụ động: một yêu cầu thông thường, không khai thác
- Miễn phí, không cần đăng ký, không quảng cáo
- Dựa trên php.net và các thông báo chính thức
2Kiểm tra một phiên bản
Được đánh giá ngay trong trình duyệt của bạn — không có gì được gửi cho chúng tôi. Mỗi dòng một phiên bản, tối đa 20.
01 · php.net · 2026-10-23
Các phiên bản đã vá
| Nhánh | Đã vá trong | Trạng thái nhánh |
|---|---|---|
| PHP 8.5 | 8.5.12 | Đang được hỗ trợ tích cực |
| PHP 8.4 | 8.4.27 | Đang được hỗ trợ tích cực |
| PHP 8.3 | 8.3.36 | Chỉ nhận bản vá bảo mật |
| PHP 8.2 | 8.2.35 | Chỉ nhận bản vá bảo mật — hết vòng đời vào 31/12/2026 |
| PHP 8.1 · 8.0 · 7.x · 5.x | Không có bản phát hành chính thức | Hết vòng đời — dự án PHP không phát hành bản mới |
Nguồn: thông báo bảo mật của php.net, 21 tháng 10 năm 2026. Xác minh lần cuối 2026-10-23.
PHP2Shell là gì?
PHP2Shell là tên các nhà nghiên cứu đặt cho hai lỗ hổng trong engine PHP: CVE-2026-109618 (hỏng bộ nhớ khi PHP hết bộ nhớ trong lúc phân tích một yêu cầu) và CVE-2026-109619 (trạng thái nội bộ còn sót lại từ yêu cầu này sang yêu cầu kế tiếp trên cùng một worker). Cả hai đều được chấm CVSS v4.0 9.2.
Kẻ tấn công không cần xác thực có thể thực thi mã trên server hoặc đọc bộ nhớ của tiến trình PHP — bao gồm mật khẩu, token phiên, API key và chứng chỉ thuộc về các yêu cầu khác — mà không cần chạy bất kỳ mã nào. Theo php.net, chúng ảnh hưởng đến PHP khi phục vụ yêu cầu web: PHP-FPM, Apache với mod_php, php-cgi, FrankenPHP và LiteSpeed. Các nhà nghiên cứu đã trình diễn tấn công trên WordPress, Drupal và Joomla, nhưng không cần một ứng dụng cụ thể nào: ngay cả một trang “Hello World” đơn giản trên bản PHP bị ảnh hưởng cũng bị lộ.
Cần làm gì ngay bây giờ
- Cập nhật lên 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35 — hoặc gói đã vá từ bản phân phối của bạn.
- Khởi động lại mọi tiến trình PHP: PHP-FPM, Apache, queue worker, container. Bản cập nhật chưa có hiệu lực cho đến lúc đó.
- Kiểm tra mọi bản PHP trên server — các panel thường cài nhiều phiên bản song song.
02 · shell
Kiểm tra ngay trên server
Việc kiểm tra trang web chỉ thấy được những gì server chọn tiết lộ. Trên server, các lệnh sau cho câu trả lời thực sự:
# phiên bản PHP mặc định
php -v
# các phiên bản PHP khác do panel hoặc gói cài đặt
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# các thiết lập liên quan đến biện pháp giảm thiểu một phần
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# những gì trang web của bạn tiết lộ cho người truy cập
curl -sI https://trang-cua-ban.com/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
Câu hỏi thường gặp
Những phiên bản PHP nào bị ảnh hưởng?
Mọi phiên bản trước 8.5.12, 8.4.27, 8.3.36 và 8.2.35 trong các nhánh được hỗ trợ. PHP 8.1 trở về trước đã hết vòng đời và không nhận bản phát hành nào từ dự án PHP; hãy coi chúng là bị ảnh hưởng trừ khi nhà cung cấp xác nhận có bản vá backport.
Trang web của tôi không hiện phiên bản PHP. Vậy có an toàn không?
Chưa chắc. Ẩn phiên bản (expose_php = Off) là thực hành tốt nhưng không vá được gì. Hãy kiểm tra trên server bằng php -v hoặc hỏi nhà cung cấp của bạn.
Công cụ hiện phiên bản cũ, nhưng nhà cung cấp hosting nói đã vá. Ai đúng?
Có thể cả hai. Các bản phân phối Linux như Debian, Ubuntu và RHEL thường backport bản vá bảo mật mà không đổi số phiên bản. Hãy hỏi nhà cung cấp hosting bản build gói nào đang được cài và changelog của nó có nhắc đến CVE-2026-109618 và CVE-2026-109619 không.
WordPress, Laravel hay CMS của tôi có bị ảnh hưởng không?
Lỗi nằm ngay trong PHP, nên mọi ứng dụng chạy trên bản PHP bị ảnh hưởng đều bị lộ. Các nhà nghiên cứu đã trình diễn tấn công không cần xác thực trên WordPress, Drupal và Joomla, nhưng đó chỉ là ví dụ — ngay cả một trang “Hello World” đơn thuần cũng đủ. Cập nhật WordPress hay plugin không khắc phục được; phải cập nhật PHP.
Dữ liệu có thể bị rò rỉ dù không có mã nào được thực thi không?
Có. CVE-2026-109619 có thể làm lộ bộ nhớ của tiến trình PHP — mật khẩu, token phiên, API key và chứng chỉ từ các yêu cầu khác — mà kẻ tấn công không cần chạy mã. Những vụ rò rỉ như vậy không để lại tệp nào và khó phát hiện, vì vậy hãy thay các thông tin bí mật của mọi trang web đã chạy phiên bản bị ảnh hưởng trên internet.