👉 Nhập địa chỉ website (URL) để tiến hành rà soát nhận diện phiên bản PHP, dấu vân tay CMS và đánh giá rủi ro an toàn thông tin trước nguy cơ khai thác thực thi mã từ xa (RCE) của CVE-2026-109618 & CVE-2026-109619.
Gợi ý kiểm tra CMS:
wordpress.org (WordPress)
joomla.org (Joomla)
drupal.org (Drupal)
moodle.org (Moodle)
laravel.com (Laravel)
Đang kết nối, phân tích DNS, ISP, CMS và dấu vân tay PHP2Shell...
Đánh Giá Mức Độ Rủi Ro Tổng Thể (Threat Classification)
RỦI RO CỰC CAO
ĐIỂM NGUY HIỂM: 9.8 / 10
Website đang chạy phiên bản PHP bị dính lỗ hổng thực thi mã từ xa.
🌐 Hạ Tầng & Công Nghệ Mạng
Tiêu đề Website:-
Địa chỉ IP:-
Nhà cung cấp mạng (ISP):-
Mã phản hồi HTTP:-
Web Server:-
Chữ ký X-Powered-By:-
Môi trường PHP:-
Tường lửa WAF:-
🛡️ Kết Quả Kiểm Tra 2 Lỗ Hổng CVE
CVE-2026-109618 (OOM Memory RCE)
-
Lỗi quản lý con trỏ bộ nhớ chưa khởi tạo trong hàm xử lý longjmp của Zend Memory Manager khi xảy ra cạn kiệt RAM.
CVE-2026-109619 (Global State UAF)
-
Lỗ hổng Use-After-Free trong việc hủy đối tượng toàn cục khi gọi hàm serialize/unserialize của PHP Core.
Phiên bản an toàn tối thiểu: PHP 8.2.35+, 8.3.36+, 8.4.27+
🔎 Dấu Vết Nhận Diện (Telemetry Indicators)
🛠️ Hành Động & Khuyến Nghị Khắc Phục
📰 CẢNH BÁO BÁO CHÍ & CƠ QUAN AN TOÀN THÔNG TIN VIỆT NAM
Tổng hợp 6 bài viết thời sự từ các đơn vị báo chí chính thống và cơ quan chức năng
Cục An ninh mạng khuyến cáo doanh nghiệp khẩn trương rà soát lỗ hổng PHP
"Cục An ninh mạng (A05) và Hiệp hội An ninh mạng quốc gia (NCA) khuyến cáo khẩn cấp yêu cầu các tổ chức, doanh nghiệp vận hành website và hệ thống PHP tiến hành rà soát hệ thống và cập nhật bản vá bảo mật trước nguy cơ bị chiếm quyền từ xa."
Công ty của kỹ sư người Việt cùng Wiz phát hiện lỗ hổng ẩn giấu 10 năm trong PHP
"Công ty an ninh mạng Calif do kỹ sư Dương Ngọc Thái sáng lập cùng hãng bảo mật Wiz đã phát hiện hai lỗ hổng cực kỳ nghiêm trọng trong lõi PHP. Đội ngũ PHP đã lập tức tung bản vá khẩn cấp cho các phiên bản 8.2, 8.3, 8.4 và 8.5."
Hàng triệu website, sàn TMĐT trước nguy cơ bị chiếm quyền qua PHP2Shell
"Cục An ninh mạng cảnh báo kỹ thuật khai thác PHP2Shell cho phép tin tặc thực thi mã từ xa không cần đăng nhập, nhắm vào các cổng dịch vụ web và nền tảng CMS phổ biến. Khuyến cáo các đơn vị khẩn trương kích hoạt tường lửa WAF và rà soát mã nguồn."
Lỗ hổng nghiêm trọng bậc nhất lịch sử PHP: Chuyên gia an ninh mạng khuyến cáo khẩn
"Lỗ hổng đạt 9.2/10 điểm CVSS, đe dọa trực tiếp các website dùng WordPress, Joomla, Drupal. Chuyên gia khuyến nghị các quản trị viên chủ động dùng công cụ rà soát độc lập để nhận diện sớm các phiên bản PHP hết hạn hỗ trợ (EOL)."
Cảnh báo nguy cơ tấn công mạng diện rộng nhắm vào các máy chủ web sử dụng PHP
"Cơ quan an ninh mạng khuyến cáo các cơ quan nhà nước, tổ chức sự nghiệp công và trường đại học nhanh chóng kiểm tra danh mục phần mềm máy chủ, cách ly các dịch vụ chạy PHP lỗi thời để phòng ngừa gián điệp mạng."
Loạt quốc gia tạm dừng dịch vụ công sau khi hai lỗ hổng PHP bị phát hiện
"Nhiều quốc gia tại châu Âu và tổ chức Wikimedia Foundation (Wikipedia) phải khẩn trương tạm ngừng một số cổng dịch vụ công trực tuyến để kiểm tra an toàn sau khi ghi nhận hàng triệu lượt quét tự động từ tin tặc nhằm khai thác lỗ hổng PHP2Shell."
📖 THÔNG TIN CHI TIẾT VỀ 2 LỖ HỔNG CVE NGUY HIỂM (PHP2SHELL)
Phát hiện và công bố trên toàn cầu • Mức độ ảnh hưởng diện rộng
CVE-2026-109618
CVSS 9.2 CRITICAL
PHP Out-Of-Memory Longjmp Uninitialized Memory RCE
Lỗ hổng phát sinh trong cơ chế quản lý bộ nhớ của nhân Zend Memory Manager (ZMM). Khi ứng dụng PHP xử lý các truy vấn với dữ liệu tải lên hoặc payload lớn gây cạn kiệt RAM (Out-Of-Memory), hàm xử lý lỗi kích hoạt ngắt nhảy xa (longjmp) nhưng không làm sạch các con trỏ quản lý heap, cho phép tin tặc gửi chuỗi byte đặc biệt ghi đè con trỏ thực thi và chiếm quyền điều khiển máy chủ.
- ⚠️ Hệ thống bị ảnh hưởng: Mọi phiên bản PHP ≤ 8.1 (EOL - vĩnh viễn không có bản vá chính thức) và PHP 8.2 < 8.2.35, PHP 8.3 < 8.3.36.
- ⚡ Mức độ tấn công: Từ xa, không cần tài khoản xác thực (Unauthenticated Remote Code Execution).
- 🛡️ Bản vá an toàn: Nâng cấp ngay lên PHP 8.2.35+, PHP 8.3.36+, hoặc PHP 8.4.27+.
CVE-2026-109619
CVSS 9.2 CRITICAL
PHP Global State Stale Pointer Use-After-Free RCE
Lỗ hổng giải phóng bộ nhớ nhưng vẫn giữ tham chiếu (Use-After-Free) trong chu trình dọn dẹp các đối tượng toàn cục (Global Destructor) khi PHP xử lý chuỗi unserialize() hoặc session phức tạp. Khi kết hợp với các cơ chế xử lý cookie/session của các CMS như Joomla, WordPress, Drupal, Moodle, kẻ tấn công có thể chèn mã thực thi tùy ý vào tiến trình máy chủ.
- ⚠️ Đối tượng rủi ro cao: Các website chạy CMS phiên bản cũ sử dụng session lưu trữ không mã hóa trên môi trường Shared Hosting hoặc VPS chưa bật WAF.
- ⚡ Hậu quả: Leo thang đặc quyền, rò rỉ cơ sở dữ liệu và cài cắm Web Shell / Backdoor vĩnh viễn trên server.
- 🛡️ Giải pháp tạm thời: Bật WAF (Cloudflare/ModSecurity) chặn chuỗi deserialization bất thường, vô hiệu hóa các hàm nhạy cảm (`system`, `exec`, `passthru`).