PHP chính thức khẩn cấp kêu gọi người dùng cập nhật để tránh bị ảnh hưởng bởi lỗ hổng thực thi mã từ xa nghiêm trọng

Odaily đưa tin: PHP chính thức đã phát hành thông báo bảo mật liên quan đến hai lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng được công bố trước đó, lần lượt là CVE-2026-109618 và CVE-2026-109619. Kẻ tấn công có thể lợi dụng các lỗ hổng liên quan để thực thi mã độc hại mà không cần xác thực danh tính, PHP chính thức khuyến nghị mạnh mẽ tất cả người dùng nâng cấp ngay lập tức.

Các lỗ hổng lần này ảnh hưởng đến các môi trường PHP xử lý yêu cầu web như PHP-FPM, Apache mod_php, php-cgi, FrankenPHP và LiteSpeed, trong đó rủi ro của Apache mod_php đặc biệt nổi bật, cuộc tấn công có thể được kích hoạt trước khi mã ứng dụng chạy.

Chính thức đã phát hành các phiên bản vá lỗi PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Người dùng vẫn đang sử dụng PHP 8.1 và các phiên bản cũ hơn nên liên hệ với nhà cung cấp bản phân phối hoặc nhà cung cấp hỗ trợ dài hạn (LTS) để xác nhận tình trạng vá lỗi, hoặc nâng cấp lên phiên bản được hỗ trợ. Chính thức nhấn mạnh rằng các biện pháp giảm thiểu tạm thời không thể loại bỏ hoàn toàn rủi ro, cài đặt bản cập nhật bảo mật ngay lập tức mới là cách giải quyết triệt để lỗ hổng.