Một phát hiện bảo mật đặc biệt nghiêm trọng vừa được công bố khi nhóm nghiên cứu Wiz Research tìm ra hàng loạt lỗ hổng trong lõi PHP, ngôn ngữ lập trình đang được sử dụng trên khoảng 70% website toàn cầu. Đáng chú ý, trí tuệ nhân tạo (AI) đóng vai trò quan trọng trong việc phát hiện và khai thác những điểm yếu đã tồn tại hơn một thập kỷ, mở ra những lo ngại mới về an ninh mạng trong kỷ nguyên AI.

Ngày 21/10/2026, công ty bảo mật đám mây Wiz công bố nghiên cứu mang tên PHP2Shell, mô tả một nhóm lỗ hổng nghiêm trọng trong bộ máy xử lý PHP. Những lỗ hổng này có thể cho phép kẻ tấn công thực thi mã từ xa (Remote Code Execution – RCE) mà không cần đăng nhập, hoặc đọc dữ liệu nhạy cảm trực tiếp từ bộ nhớ của máy chủ.

Vấn đề không nằm ở một plugin, giao diện hay hệ quản trị nội dung cụ thể, mà xuất phát từ chính lõi PHP. Điều đó khiến phạm vi ảnh hưởng tiềm tàng rộng hơn nhiều so với những lỗ hổng website thông thường.

PHP2Shell là gì và vì sao lại nguy hiểm?

PHP2Shell là tên được Wiz Research đặt cho chuỗi khai thác kết hợp nhiều lỗi bảo mật trong PHP.

Theo nhóm nghiên cứu, các lỗ hổng bắt nguồn từ cách PHP xử lý lỗi nghiêm trọng trong quá trình thực thi, đặc biệt là những tình huống máy chủ hết bộ nhớ (out-of-memory).

Trong một số trường hợp, khi yêu cầu xử lý bị gián đoạn, PHP không dọn dẹp hoàn toàn trạng thái nội bộ. Những tham chiếu đến vùng nhớ đã được giải phóng có thể tiếp tục tồn tại và bị sử dụng trong các yêu cầu tiếp theo.

Kẻ tấn công có thể lợi dụng trạng thái bộ nhớ không hợp lệ này để đọc dữ liệu hoặc làm sai lệch quá trình thực thi của máy chủ.

Wiz cho biết họ đã chứng minh được hai hậu quả đặc biệt nghiêm trọng:

• Thực thi mã từ xa không cần xác thực: Kẻ tấn công có thể chạy mã trên máy chủ bị ảnh hưởng mà không cần tài khoản đăng nhập.

• Rò rỉ dữ liệu trong bộ nhớ: Những thông tin như mật khẩu, mã xác thực, API key và dữ liệu nhạy cảm khác có thể bị lộ.

Đáng lo ngại hơn, các lỗi này nằm ở tầng PHP nên ngay cả một ứng dụng được lập trình cẩn thận cũng có thể gặp rủi ro nếu chạy trên phiên bản PHP bị ảnh hưởng.

Hai lỗ hổng CVE với mức độ nghiêm trọng lên tới 9,2/10

Các phát hiện của Wiz được nhóm thành hai mã định danh bảo mật:

Theo Wiz Research, mức độ nghiêm trọng của nhóm lỗ hổng đạt tới CVSS 9,2/10.

Một điểm đáng chú ý là các vấn đề không chỉ xuất hiện trên những bản PHP mới. Nhóm nghiên cứu cho biết mọi phiên bản PHP được phát hành trong khoảng một thập kỷ qua đều bị ảnh hưởng bởi ít nhất một trong các lỗi được phát hiện, với phạm vi kéo dài tới PHP 5.4.

Điều này không có nghĩa tất cả website PHP đều có thể bị khai thác theo cùng một cách. Khả năng tấn công thực tế còn phụ thuộc vào phiên bản, cấu hình máy chủ và môi trường triển khai.

Tuy nhiên, phạm vi tồn tại của lỗi cho thấy đây là một vấn đề mang tính nền tảng, không chỉ giới hạn trong một phiên bản phần mềm cụ thể.

WordPress, Drupal và Joomla đều bị khai thác thành công

Để đánh giá tác động thực tế, Wiz Research đã thử nghiệm PHP2Shell trên ba nền tảng quản trị nội dung phổ biến là WordPress, Drupal và Joomla.

Kết quả cho thấy nhóm nghiên cứu có thể thực thi mã từ xa mà không cần xác thực trên các môi trường thử nghiệm sử dụng image container mới nhất tại thời điểm kiểm tra.

Đây là phát hiện đặc biệt đáng chú ý đối với cộng đồng quản trị website, bởi WordPress và các hệ thống CMS dựa trên PHP được sử dụng rộng rãi trong hoạt động xuất bản nội dung, thương mại điện tử và vận hành doanh nghiệp.

Thông thường, khi nhắc đến bảo mật WordPress, nhiều người sẽ nghĩ đến plugin lỗi thời, theme không an toàn hoặc mật khẩu quản trị yếu.

Tuy nhiên, PHP2Shell cho thấy một nguy cơ khác: website có thể bị ảnh hưởng ngay cả khi mã nguồn ứng dụng không chứa lỗi bảo mật tương ứng, bởi lỗ hổng nằm trong chính môi trường thực thi PHP.

Wiz cũng chứng minh khả năng đọc dữ liệu từ bộ nhớ tiến trình PHP mà không cần thực thi mã từ xa thành công. Điều này có thể khiến những thông tin nhạy cảm được xử lý bởi máy chủ đứng trước nguy cơ bị tiết lộ.

AI đã giúp phát hiện những lỗ hổng tồn tại hơn 10 năm như thế nào?

Một trong những điểm đáng chú ý nhất của sự kiện PHP2Shell chính là vai trò của trí tuệ nhân tạo.

Theo Wiz Research, những lỗi nền tảng trong PHP đã tồn tại nhiều năm nhưng việc biến chúng thành một chuỗi khai thác hoạt động được là nhiệm vụ cực kỳ phức tạp.

Các lỗi liên quan đến bộ nhớ thường đòi hỏi nhà nghiên cứu phải hiểu sâu về cách phần mềm cấp phát, giải phóng và tái sử dụng dữ liệu. Chỉ một thay đổi nhỏ về phiên bản PHP, cấu hình máy chủ hoặc cách ứng dụng hoạt động cũng có thể khiến phương pháp khai thác không còn hiệu quả.

Trong nghiên cứu này, Wiz đã sử dụng các công cụ và mô hình AI gồm:

• Wiz Atlas.

• Gemini 4 Argon của Google DeepMind.

• GPT-5.6 Sol của OpenAI.

Đặc biệt, Wiz đánh giá Gemini 4 Argon có đóng góp quan trọng trong việc tìm ra lỗ hổng, phát triển phương pháp khai thác, xây dựng khả năng phát hiện tấn công và kiểm chứng bản vá.

Các mô hình AI hỗ trợ quá trình phân tích, thử nghiệm và điều chỉnh phương pháp khai thác trên những môi trường khác nhau, giúp giảm đáng kể khối lượng công việc thủ công.

Theo Wiz, AI đã giúp biến những vấn đề vốn rất khó khai thác thành các chuỗi tấn công có thể được phát triển và điều chỉnh trong thời gian ngắn hơn nhiều.

Đây cũng là lý do nhóm nghiên cứu cho rằng PHP2Shell có thể đánh dấu một bước ngoặt trong lĩnh vực an ninh mạng: độ phức tạp kỹ thuật không còn là rào cản bảo vệ đáng tin cậy như trước khi AI ngày càng giỏi phân tích và phát triển mã khai thác.

PHP2Shell được so sánh với Heartbleed và Log4Shell

Trong bài công bố, Wiz Research liên hệ PHP2Shell với hai sự kiện bảo mật từng gây chấn động ngành công nghệ.

Năm 2014, Heartbleed cho thấy một lỗ hổng trong thư viện mã hóa được sử dụng rộng rãi có thể dẫn đến nguy cơ rò rỉ dữ liệu trên quy mô lớn.

Đến năm 2021, Log4Shell tiếp tục chứng minh mức độ nguy hiểm của những lỗ hổng nằm trong thành phần phần mềm được tích hợp sâu vào nhiều hệ thống khác nhau.

Theo nhận định của Wiz, PHP2Shell có thể trở thành một cột mốc tương tự trong kỷ nguyên AI, bởi nó không chỉ cho thấy tác động của một lỗi bảo mật nền tảng mà còn minh họa cách AI thay đổi khả năng khai thác các lỗ hổng phức tạp.

Tuy nhiên, đây là đánh giá của nhóm nghiên cứu về mức độ nghiêm trọng tiềm tàng. Không nên hiểu rằng PHP2Shell đã gây ra thiệt hại thực tế trên quy mô tương đương Heartbleed hoặc Log4Shell.

PHP đã phát hành bản vá bảo mật ngày 21/10/2026

Tin tích cực là nhóm phát triển PHP đã phối hợp với các nhà nghiên cứu để xử lý vấn đề trước khi công bố rộng rãi.

Theo Wiz, các phiên bản PHP chứa bản vá bảo mật đã được phát hành vào ngày 21/10/2026, cùng thời điểm thông tin về PHP2Shell được công khai.

Quá trình xử lý có sự tham gia của nhiều tổ chức và doanh nghiệp công nghệ, bao gồm nhóm phát triển PHP, Wiz, OpenAI, Calif cùng các nhà cung cấp hạ tầng như Cloudflare, AWS, Google Cloud, Microsoft, Akamai, Fastly và nhiều đơn vị khác.

Sự phối hợp này nhằm giúp các tổ chức chuẩn bị phương án cập nhật, phát hiện tấn công và giảm thiểu rủi ro trước khi chi tiết kỹ thuật được công bố.

Wiz nhấn mạnh rằng cập nhật PHP lên phiên bản đã được vá là biện pháp khắc phục đầy đủ, trong khi các biện pháp giám sát hoặc chặn khai thác chỉ mang tính hỗ trợ.

Người quản trị website cần làm gì trước nguy cơ PHP2Shell?

Với những website đang vận hành bằng PHP, đặc biệt là WordPress, Drupal, Joomla hoặc các ứng dụng PHP tự phát triển, quản trị viên nên chủ động rà soát hệ thống.

Các bước quan trọng gồm:

1. Kiểm tra phiên bản PHP đang sử dụng

Xác định phiên bản PHP của máy chủ, container hoặc dịch vụ hosting và đối chiếu với thông báo bảo mật từ nhóm phát triển PHP.

2. Cập nhật bản vá càng sớm càng tốt

Ưu tiên triển khai các bản PHP đã được sửa lỗi, đồng thời kiểm tra khả năng tương thích của ứng dụng trước khi cập nhật trên hệ thống sản xuất.

3. Liên hệ nhà cung cấp hosting

Nếu sử dụng shared hosting hoặc dịch vụ quản trị máy chủ, chủ website nên yêu cầu nhà cung cấp xác nhận môi trường PHP đã được cập nhật hay chưa.

4. Theo dõi các dấu hiệu bất thường

Wiz khuyến nghị chú ý đến những yêu cầu tải tệp bất thường, lỗi giới hạn bộ nhớ, các phản hồi HTTP 500 lặp lại, cookie PHPSESSID có kích thước hoặc định dạng khác thường và tình trạng tiến trình PHP liên tục khởi động lại.

Những biểu hiện này không tự động chứng minh hệ thống đã bị tấn công, nhưng có thể là dấu hiệu cần điều tra.

5. Rà soát thông tin nhạy cảm

Nếu phát hiện dấu hiệu xâm nhập, quản trị viên cần đánh giá nguy cơ lộ mật khẩu, token, API key và các thông tin bí mật khác để có phương án xử lý phù hợp.

Đặc biệt, việc chỉ cập nhật WordPress, plugin hoặc theme không thể thay thế cho việc vá lỗ hổng trong lõi PHP.

Từ phát hiện đến công bố: Hành trình hai tháng của PHP2Shell

Theo mốc thời gian do Wiz công bố, quá trình phát hiện và xử lý PHP2Shell diễn ra như sau:

Quá trình này cho thấy vai trò của cơ chế công bố lỗ hổng có trách nhiệm, trong đó các nhà nghiên cứu và đơn vị phát triển phần mềm phối hợp xử lý trước khi thông tin được phổ biến rộng rãi.

PHP2Shell cho thấy AI đang thay đổi cuộc chơi an ninh mạng

PHP2Shell không đơn thuần là câu chuyện về hai mã CVE hay một bản cập nhật PHP.

Sự kiện này phản ánh một thay đổi lớn trong lĩnh vực bảo mật: AI đang giúp con người phân tích những hệ thống phần mềm phức tạp với tốc độ và khả năng mà trước đây đòi hỏi rất nhiều thời gian cùng nguồn lực chuyên môn.

Ở góc độ tích cực, các công cụ AI có thể giúp chuyên gia bảo mật phát hiện sớm những điểm yếu đã tồn tại nhiều năm, hỗ trợ kiểm chứng bản vá và bảo vệ hệ thống trước các cuộc tấn công.

Nhưng ở chiều ngược lại, chính những năng lực này cũng có thể khiến các lỗ hổng khó khai thác trở nên dễ tiếp cận hơn với kẻ tấn công.

Đối với các doanh nghiệp và quản trị viên website, bài học quan trọng từ PHP2Shell là không nên chỉ tập trung bảo mật ở tầng ứng dụng. Những thành phần nền tảng như ngôn ngữ lập trình, thư viện hệ thống và môi trường thực thi cũng cần được cập nhật, kiểm tra và giám sát thường xuyên.

PHP2Shell có thể trở thành một trong những phát hiện bảo mật đáng chú ý nhất năm 2026, không chỉ vì phạm vi ảnh hưởng tiềm tàng của PHP mà còn bởi vai trò ngày càng lớn của AI trong việc tìm ra những lỗ hổng từng được xem là quá phức tạp để khai thác.

Nguồn: Wiz Research