Hai lỗ hổng PHP nghiêm trọng (9.2/10) khiến hàng triệu website có nguy cơ — bản vá khẩn cấp ra mắt ngày hôm nay

Tóm tắt nhanh

• PHP phát hành bản vá an ninh khẩn cấp dự kiến lúc 10:00 AM ET hôm nay để sửa hai lỗ hổng nghiêm trọng có điểm 9,2/10.
• Theo PHP Foundation, hai CVE là CVE-2026-109618 và CVE-2026-109619 ảnh hưởng "tất cả các cài đặt PHP phục vụ yêu cầu web" kể từ PHP 5; chỉ PHP 8.2 trở lên được hỗ trợ chính thức để nhận bản vá.
• Các nhà phân tích nói lỗi có thể cho phép kẻ tấn công thực thi mã từ xa hoặc đọc bộ nhớ tiến trình chứa mật khẩu, token và khóa API.
• Các cơ quan an ninh như NSA (Mỹ) và NCSC (Anh) khuyến cáo quản trị viên cài bản vá ngay hoặc tạm thời đưa hệ thống ngoại tuyến nếu không thể vá kịp.
• Cloudflare và các công ty bảo mật báo cáo đã thấy cuộc tấn công đầu tiên xuất hiện trước và ngay sau khi bản vá được công bố; Sansec dự đoán tấn công quy mô lớn bắt đầu trong vòng 15 phút sau phát hành.
• Wiz, OpenAI và công ty bảo mật Calif độc lập phát hiện/đóng góp phát hiện; OpenAI cho biết GPT-5.6 Sol tham gia tìm lỗi và Wiz mô tả PoC gọi là "php2shell".
• Các chuyên gia cảnh báo khả năng "wormable" khiến phần lớn Internet bị lây lan nhanh nếu kẻ tấn công khai thác nhanh chóng; một số tổ chức đã tạm đóng website phòng ngừa.
• Các nguồn ước tính lỗ hổng có thể ảnh hưởng khoảng 70% web; một số bản phân phối PHP bên thứ ba có thể cung cấp bản vá cho các phiên bản cũ hơn không được hỗ trợ.

Tóm tắt tự động bằng AI từ 4 nguồn, có thể có sai sót. Hãy kiểm chứng ở bài gốc.