Theori ngày 22/10 cho biết đã tái hiện và xác thực PHP2Shell, lỗ hổng nghiêm trọng mới được công bố trong PHP engine, đồng thời phát hành hướng dẫn ứng phó khẩn dành cho doanh nghiệp và các cơ quan.

Theo Theori, PHP2Shell gồm hai mã định danh CVE-2026-109618 và CVE-2026-109619. Lỗ hổng này xuất phát từ chính PHP engine, không phụ thuộc vào cách ứng dụng web được triển khai. Kẻ tấn công có thể thực thi mã từ xa trên máy chủ mà không cần xác thực để chiếm quyền kiểm soát, hoặc đọc vùng nhớ của tiến trình.

Theori cho biết lỗ hổng được chấm 9,2 điểm theo thang CVSS v4.0, tương ứng mức Critical.

Đáng chú ý, trước cả khi khuyến nghị bảo mật chính thức được ban hành, video PoC và tệp nhị phân bản vá đã bị rò rỉ. Theo công ty, điều này khiến mã PoC phát tán rất nhanh và buộc các tổ chức phải phản ứng kịp thời.

Nhóm nghiên cứu của Theori nhận định sau khi trực tiếp tái hiện và kiểm chứng mã khai thác, việc các tác nhân khác tiếp tục tạo và phát tán exploit theo cùng phương thức chỉ còn là vấn đề thời gian.

Các phiên bản bị ảnh hưởng gồm PHP 8.2.34, 8.3.35, 8.4.26, 8.5.11 trở xuống, cùng toàn bộ các nhánh PHP 8.1 trở xuống đã hết hỗ trợ, bao gồm 7.x và 5.x. PHP khuyến nghị người dùng cập nhật ngay lên các phiên bản đã vá mới nhất như 8.2.35, 8.3.36, 8.4.27 và 8.5.12.

Theori cho rằng cập nhật lên bản vá bảo mật mới nhất là biện pháp hiệu quả nhất. Tuy nhiên, với những môi trường chưa thể nâng cấp PHP engine ngay, công ty cũng đưa ra các biện pháp giảm thiểu tạm thời mang tính khẩn cấp. Theori lưu ý các biện pháp này có thể gây tác dụng phụ, chẳng hạn lỗi liên quan đến session, và không thể bảo vệ hoàn toàn, vì vậy hệ thống vẫn cần được cập nhật bản vá mới nhất sớm nhất có thể.

Lim Jun-oh, nghiên cứu viên cấp cao thuộc nhóm AI & Cyber Research của Theori, cảnh báo PHP2Shell là lỗ hổng ở mức rủi ro cao nhất và có thể đặt toàn bộ máy chủ vào tình trạng nguy hiểm bất kể mã ứng dụng ra sao. Ông khuyến nghị các tổ chức cần lập tức kiểm tra tình trạng vá theo từng bản phân phối hệ điều hành để nâng cấp lên phiên bản mới nhất. Trước khi hoàn tất việc vá lỗi, doanh nghiệp cũng nên áp dụng các biện pháp giảm thiểu tạm thời và sử dụng script kiểm tra do Theori công bố để rà soát cấu hình cũng như xác định sớm dấu hiệu xâm nhập.