Hai lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trên PHP, ngôn ngữ lập trình mã nguồn mở đang được sử dụng rộng rãi để vận hành website và ứng dụng web, buộc nhiều tổ chức trên thế giới khẩn trương ứng phó. Theo CNBC và ITmedia vào ngày 22/10, nhóm lỗ hổng mang tên “PHP2Shell” có thể cho phép kẻ tấn công thực thi mã từ xa trên máy chủ.

Vào ngày 21/10 (UTC), dự án phát triển PHP đã phát hành các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35 để khắc phục khẩn cấp hai lỗ hổng này. Chúng được định danh lần lượt là CVE-2026-109618 và CVE-2026-109619.

Theo thông tin công bố, một lỗ hổng liên quan đến việc quá trình xử lý bị dừng khi thiếu bộ nhớ, khiến dữ liệu chưa hoàn chỉnh vẫn có thể bị coi là hợp lệ. Lỗ hổng còn lại khiến trạng thái nội bộ không được xóa hoàn toàn sau khi vùng nhớ do một yêu cầu ghi vào đã được giải phóng, từ đó có thể ảnh hưởng sang các yêu cầu khác. Môi trường triển khai mod_php trên Apache được đánh giá có rủi ro cao nhất, do đã chứng minh có thể bị khai thác chỉ bằng một yêu cầu không cần xác thực.

Vào ngày 22/10, Cơ quan An ninh Quốc gia Mỹ (NSA) kêu gọi các tổ chức đang sử dụng PHP khẩn trương cập nhật bản vá bảo mật. NSA cảnh báo kẻ tấn công có thể truy cập trực tiếp vào hệ thống tệp và cơ sở dữ liệu trên máy chủ. Trong trường hợp chưa thể cập nhật ngay, cơ quan này khuyến nghị tạm đưa hệ thống offline. Cục Điều tra Liên bang Mỹ (FBI), cùng các cơ quan an ninh mạng của Singapore, Anh, Australia, Canada và Liên minh châu Âu (EU), cũng đã phát đi cảnh báo tương tự.

Amazon cho biết hệ thống phát hiện mối đe dọa “MadPot” đã ghi nhận các nỗ lực tấn công ngay trước khi thông tin về lỗ hổng được công bố. Tuy vậy, công ty cho biết hiện chưa xác định được bằng cách nào tin tặc có được thông tin về lỗ hổng.

Vụ việc cũng thu hút sự chú ý đến vai trò của AI trong phát hiện lỗ hổng bảo mật. OpenAI cho biết công ty an ninh mạng Calif đã sử dụng “GPT-5.6 Sol” để tìm ra một trong hai lỗ hổng. Trong khi đó, Wiz, công ty bảo mật thuộc Google, được cho là đã phát hiện độc lập cả hai lỗ hổng.

Theo thông tin được công bố, Wiz đã sử dụng “GPT-5.6 Sol”, “Gemini 4 Argon” của Google và hệ thống AI nội bộ “Wiz Atlas”. OpenAI cho biết trong hai tháng qua, công ty đã đứng ra điều phối một nhóm gồm các bên bảo trì và các nhà nghiên cứu bảo mật nhằm xử lý sớm, phối hợp vá lỗi và ứng phó trước khi thông tin được công khai.

OpenAI dự báo số lỗ hổng do AI phát hiện sẽ tăng mạnh trong vài tháng tới. Công ty đồng thời cảnh báo năng lực tìm ra các lỗ hổng nghiêm trọng của AI cũng có thể bị lợi dụng để phát triển công cụ tấn công. Với vụ việc lần này, OpenAI đánh giá AI đã phát hiện lỗ hổng sớm hơn kẻ tấn công, qua đó giúp bên phòng thủ có thêm thời gian chuẩn bị. Công ty cũng đề xuất quy trình ứng phó gồm 5 bước, từ xác minh lỗ hổng đến hỗ trợ triển khai sau khi bản vá được phát hành.

Tại Nhật Bản, Codomon, BASE, Cygames và Pixiv đã tạm dừng dịch vụ để phòng ngừa rủi ro. Thủ tướng Sanae Takaichi cũng kêu gọi cập nhật trên tài khoản X cá nhân. Nhóm phát triển PHP nhấn mạnh hiện không có biện pháp giảm thiểu nào có thể thay thế hoàn toàn việc cập nhật, và vá lỗi là lựa chọn an toàn duy nhất.