FBI cảnh báo lỗ hổng nghiêm trọng trong PHP (PHP2Shell) có thể cho phép chạy mã từ xa
FBI Issues Warning On Major Cybersecurity Threat You Should Know About
Tóm tắt nhanh
- FBI kêu gọi các tổ chức cập nhật máy chủ web ngay lập tức sau khi phát hiện hai lỗ hổng PHP được đặt mã CVE-2026-109618 và CVE-2026-109619.
- Hai lỗ hổng, gọi là PHP2Shell, là lỗi bộ nhớ cho phép kẻ tấn công chạy mã từ xa trên máy chủ PHP mà không cần tài khoản; PHP đánh giá cả hai là mức 9.2/10 về mức độ nghiêm trọng.
- PHP công bố lỗ hổng ngày 20/10 và phát hành bản sửa trong PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35 vào ngày 21/10.
- FBI gợi ý tổ chức không thể cập nhật ngay nên tạm lấy hệ thống khỏi mạng để giảm rủi ro.
- PHP chiếm khoảng 69% các website có ngôn ngữ phía máy chủ được biết, bao gồm các trang WordPress, nên lỗ hổng ảnh hưởng rộng.
- Amazon cho biết honeypot phát hiện cố gắng khai thác vào ngày 17/10, trước khi lỗ hổng được công bố, và PHP2Shell đang bị khai thác rộng rãi trong thực tế.
- Một số trang web chính phủ tại châu Âu và nơi khác đã phải tắt dịch vụ vào 21/10 khi quản trị viên chạy gấp các bản vá.
- Người dùng không thể tự cập nhật trên điện thoại/máy tính vì lỗi nằm ở server; nên theo dõi email thông báo rò rỉ và đổi mật khẩu ngay nếu được yêu cầu.
- Khuyến cáo thêm: dùng trình quản lý mật khẩu, thiết lập passkey hoặc xác thực hai yếu tố, và cảnh giác với email/SMS mạo danh; truy cập trực tiếp trang web thay vì bấm link trong thông báo.
Tóm tắt tự động bằng AI từ bài gốc, có thể có sai sót. Hãy kiểm chứng ở bài gốc.
Trích đoạn bài gốc
The general consensus is that if the FBI is making an announcement, then it's a an issue worth paying attention to, even if you don't run your own websiteTapview chỉ hiển thị tiêu đề, trích đoạn ngắn, tóm tắt và đường dẫn tới bài gốc. Nội dung gốc thuộc bản quyền của BGR.
