CVE-2026-109618/109619: PHP vá hai lỗi RCE không cần xác thực
Hai lỗi PHP nghiêm trọng có thể dẫn đến thực thi mã từ xa trước khi mã ứng dụng chạy. Cần kiểm kê cả máy chủ web và sản phẩm nhúng PHP, rồi cập nhật ngay.
Cập nhật: · Giờ Việt Nam (UTC+7)
Đã đối chiếu thông báo chính thức của dự án PHP ngày 21/10/2026 với cảnh báo UK NCSC, CERT-EU và bản cập nhật Unit 42 ngày 23/10. Nhãn Đã xác minh áp dụng cho lỗ hổng, phiên bản vá và nội dung được dẫn nguồn; không xác nhận phạm vi ngoài telemetry do nhà cung cấp mô tả. Unit 42 báo cáo một ca hậu khai thác tại một cơ quan chính phủ châu Âu; Ransomware.VN chưa kiểm tra log, telemetry hay mẫu gốc và chưa xác nhận ransomware, nạn nhân tại Việt Nam hoặc tổng số tổ chức bị ảnh hưởng.
Nguồn được đọc ngày 24/10/2026. NCSC và CERT-EU dựa một phần vào thông báo PHP nên không được trình bày như xác nhận độc lập về sự cố. Số 22,6 triệu của Unit 42 là lượng instance phơi bày có khả năng bị ảnh hưởng theo telemetry, không phải số nạn nhân hoặc hệ thống đã bị xâm nhập. Truy vấn săn tìm không đặc hiệu cho hai CVE và có thể có false positive. Ảnh là minh họa biên tập, không phải chứng cứ hiện trường.
Bằng chứng: hai CVE và các phiên bản đã vá
Ngày 21/10/2026, dự án PHP phát hành 8.5.12, 8.4.27, 8.3.36 và 8.2.35 để sửa CVE-2026-109618 và CVE-2026-109619. Cả hai có thể cho phép thực thi mã từ xa không cần xác thực trong điều kiện phù hợp. PHP 8.1 trở xuống đã hết vòng đời ở dự án chính; tổ chức cần kiểm tra bản vá backport từ nhà cung cấp hoặc nâng cấp nhánh được hỗ trợ. [S1]
Bằng chứng kỹ thuật: lỗi bộ nhớ trước lớp ứng dụng
CVE-2026-109618 liên quan xử lý hết bộ nhớ có thể làm dữ liệu request chỉ được khởi tạo một phần rồi bị cleanup như dữ liệu hợp lệ. CVE-2026-109619 liên quan trạng thái toàn cục cũ còn tồn tại sau khi vùng nhớ nền đã được giải phóng và có thể bị worker dùng lại trước khi khởi tạo bình thường. [S1][S3]
Phạm vi được PHP nêu gồm mọi cài đặt phục vụ web request như PHP-FPM, Apache mod_php, php-cgi, FrankenPHP và LiteSpeed. Dự án đánh giá mod_php có rủi ro cao nhất và đã chứng minh một request chưa xác thực có thể kích hoạt lỗi trước khi mã ứng dụng chạy. [S1]
Phạm vi xác minh: PoC không phải bằng chứng một chiến dịch
CERT-EU cho biết chi tiết kỹ thuật và PoC ban đầu đã bắt đầu lưu hành, từ đó đánh giá khả năng kẻ tấn công khai thác tăng. Đây là nhận định rủi ro, không phải xác nhận một chiến dịch đang hoạt động. Trong các nguồn được rà soát, chưa có bằng chứng công khai gắn hai CVE này với ransomware, nạn nhân cụ thể hoặc hệ thống tại Việt Nam. [S3]
Nhận định kỹ thuật: ưu tiên kiểm kê và cập nhật
- Lập danh sách mọi runtime PHP phục vụ web, ưu tiên tài sản Internet-facing; không chỉ tìm phiên bản cũ vì thông báo áp dụng rộng cho các nhánh trước bản vá.
- Kiểm tra cả appliance, cổng quản trị, phần mềm backup và sản phẩm bên thứ ba có thể nhúng PHP; chỉ kết luận sản phẩm bị ảnh hưởng khi có phiên bản hoặc advisory tương ứng từ nhà cung cấp.
- Cập nhật lên 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35, hoặc bản phân phối/LTS đã backport bản vá; kiểm tra gói thực tế thay vì dựa vào banner phiên bản đơn lẻ.
- Nếu chưa thể cập nhật, cân nhắc cô lập dịch vụ khỏi Internet. Biện pháp tạm thời của PHP không làm hệ thống an toàn hoàn toàn và không thay thế bản vá. [S1][S2]
Nhận định ứng cứu: bảo toàn dấu vết trước thay đổi
Với máy chủ phơi bày và chưa vá trong khoảng có nguy cơ, nên bảo toàn access log, error log, cấu hình, tiến trình, tác vụ định kỳ và thay đổi file trước khi nâng cấp hoặc rebuild. Tìm webshell, backdoor và hành vi hậu khai thác theo timeline; không coi việc vá thành công là bằng chứng hệ thống chưa từng bị truy cập. [S2]
Nếu dịch vụ không thể vá hoặc áp dụng giảm thiểu trong thời gian chấp nhận được, UK NCSC khuyến nghị cân nhắc đưa hệ thống offline cho đến khi xử lý đầy đủ. Quyết định cần tính tới tính liên tục nghiệp vụ và do người có thẩm quyền phê duyệt. [S2]
Điều chưa biết tại Việt Nam
Ransomware.VN chưa có telemetry, log gốc hoặc thông báo sơ cấp xác nhận khai thác hai CVE tại một tổ chức Việt Nam. Bài này là cảnh báo Exposure Watch để hỗ trợ kiểm kê và phòng thủ, không phải thống kê nạn nhân hay tuyên bố một sự cố ransomware.
Cập nhật 24/10: telemetry hậu khai thác do Unit 42 công bố
Unit 42 cho biết họ quan sát hoạt động hậu khai thác dùng nền tảng AI tác tử tại một cơ quan chính phủ châu Âu: trong hai giờ sau khai thác ban đầu, tác nhân truy cập password hash và bí mật MFA, thiết lập đường hầm NTLM relay vào Active Directory và thử leo thang Domain Admin. Đây là quan sát do nhà cung cấp công bố, chưa phải xác minh độc lập của Ransomware.VN. [S4]
Cortex Xpanse ghi nhận hơn 22,6 triệu instance phơi bày có khả năng bị ảnh hưởng tại thời điểm công bố. Con số này phản ánh telemetry phơi bày, không phải số tổ chức duy nhất, nạn nhân đã xác nhận hoặc hệ thống chắc chắn bị xâm nhập. [S4]
Truy vấn săn tìm do Unit 42 cung cấp nhằm phát hiện thực thi lệnh hậu khai thác từ PHP worker nhưng không đặc hiệu cho hai CVE và có thể tạo false positive. Mỗi kết quả cần đối chiếu với workload hợp lệ, timeline, tiến trình cha/con và log gốc trước khi kết luận. [S4]
Nguồn tham khảo
Phạm vi và ngày của từng nguồn được ghi riêng khi có dữ liệu. Việc dẫn nguồn không đồng nghĩa xác minh độc lập toàn bộ nhận định.
Lịch sử cập nhật
· Đăng cảnh báo VI/EN từ thông báo PHP và khuyến cáo cơ quan an ninh mạng; tách PoC, nhận định rủi ro và điều chưa xác minh. Bổ sung sáu ảnh tối giản riêng cho sự kiện.
· Điều chỉnh phần đọc thêm để không quảng bá thương hiệu No.Ransomware.VN đã ngừng dùng; dữ kiện, URL, ngày xuất bản, nguồn và ảnh không đổi.
· Bổ sung telemetry Unit 42 ngày 23/10 về một ca hậu khai thác, số instance phơi bày và truy vấn săn tìm; giữ phạm vi nguồn, không chuyển thành số nạn nhân hay xác nhận ransomware/Việt Nam. Giữ URL, ngày xuất bản và sáu ảnh.
Chính sách sửa bài
