Tóm tắt các ý chính:
- Wiz Research đã phát hiện nhiều lỗ hổng nghiêm trọng trong nhân (core) của PHP – một ngôn ngữ lập trình kịch bản phổ biến, vốn là nền tảng cho 70% tổng số trang web trên toàn thế giới. Nếu khai thác thành công, kẻ tấn công có thể chiếm quyền kiểm soát các máy chủ bị ảnh hưởng, đánh cắp dữ liệu nhạy cảm và làm biến dạng (deface) các trang web đang chạy trên đó.
- PHP đóng vai trò là xương sống của nền tảng web: đây là ngôn ngữ lập trình vận hành WordPress, Joomla, Drupal, MediaWiki (của Wikipedia) và nhiều hệ thống khác.
- Các lỗ hổng này bao gồm lỗi tiết lộ bộ nhớ (memory disclosure) và thực thi mã từ xa mà không cần xác thực (unauthenticated remote code execution) ngay trong chính PHP – độc lập với các ứng dụng chạy trên nền tảng này – khiến mọi trang web bị ảnh hưởng đều rơi vào tình trạng rủi ro tức thì.
- Tất cả các phiên bản PHP được phát hành trong thập kỷ qua, kể từ phiên bản 5.4, đều chịu ảnh hưởng bởi ít nhất một trong số các lỗ hổng này. Kẻ tấn công có thể khai thác chúng từ xa, trong một số trường hợp là khá dễ dàng. Việc cập nhật bản vá ngay lập tức là yêu cầu cấp thiết.
- Vào ngày 21 tháng 10 năm 2026, PHP đã phát hành bản vá để khắc phục nhiều lỗ hổng liên quan đến an toàn bộ nhớ (memory-safety) trong nhân hệ thống.
- Những phát hiện này được xếp vào nhóm các lỗ hổng nghiêm trọng nhất từng được tìm thấy trong PHP, thậm chí có thể nói là trong lịch sử phần mềm. Các khiếm khuyết cốt lõi này đã tồn tại suốt nhiều thập kỷ, nhưng việc chứng minh khả năng khai thác chúng đòi hỏi một chuỗi các bước vô cùng phức tạp – vượt xa giới hạn mà các nhà nghiên cứu con người có thể thực hiện trong thực tế. Các mô hình AI tiên tiến (Frontier AI models) đã giảm đáng kể rào cản này, biến một khiếm khuyết tồn tại lâu năm thành một lỗ hổng có thể khai thác được.

Trích lược Sagi Tzadik https://www.wiz.io/blog/php2shell-php-rce