Cảnh báo: PHP vá khẩn 2 lỗ hổng nghiêm trọng 9.2/10 lúc 21:00 ngày 21/10/2026, cần làm gì ngay

Đội bảo mật PHP vừa báo trước một bản vá khẩn cho 2 lỗ hổng nghiêm trọng (9.2/10), phát hành lúc 21:00 tối 21/10/2026 giờ Việt Nam. Nếu website của bạn chạy WordPress, WooCommerce, Laravel hay WHMCS, nghĩa là bạn đang chạy PHP. Bài này tóm tắt những gì đã biết, và 6 việc nên làm ngay để không bị động khi chi tiết lỗ hổng được công bố.

Chuyện gì đang xảy ra?

Tối 20/10/2026, đội bảo mật PHP (thư của Jakub Zelenka trên danh sách php.announce) thông báo sẽ phát hành bản vá bảo mật khẩn vào thứ Tư 21/10/2026 lúc 14:00 UTC, tức 21:00 giờ Việt Nam. Bản vá sửa 2 lỗ hổng nghiêm trọng, mỗi lỗ hổng được chấm 9.2/10 theo CVSS v4.0 (mức Critical). Đội PHP cũng cho biết có thể phát hành sớm hơn nếu chi tiết bị lộ hoặc phát hiện đã có người khai thác.

Gần như mọi website WordPress, WooCommerce, Laravel, WHMCS, Magento, OpenCart... đều chạy trên PHP. Vì vậy lần này không phải chuyện của riêng plugin hay theme nào: ai có website PHP cũng nên chuẩn bị.

Những gì đã xác nhận và những gì chưa

Đã xác nhận (từ php.net)

• Lịch phát hành: 21/10/2026, 14:00 UTC (21:00 giờ VN).
• 2 lỗ hổng, cùng mức 9.2 Critical theo CVSS v4.0.
• Phiên bản bị ảnh hưởng, phiên bản được vá và chi tiết kỹ thuật sẽ công bố cùng bản phát hành.

Chưa xác nhận (tin từ giới bảo mật)

• Mã lỗi được nhắc tới là CVE-2026-109618 và CVE-2026-109619, mô tả là lỗi thực thi mã từ xa (RCE). php.net chưa công bố chính thức các mã này.
• Có tin cho rằng mọi bản từ PHP 5 trở lên đều bị ảnh hưởng, và chỉ các nhánh còn hỗ trợ (8.2, 8.3, 8.4, 8.5) được vá.
• Có ý kiến liên hệ lỗi với tính năng session upload progress. Đây mới là suy đoán.

Bạn cần làm gì ngay hôm nay?

1. Kiểm tra phiên bản PHP đang chạy

Trên máy chủ, chạy lệnh php -v. Với WordPress, vào Công cụ > Tình trạng trang web > Thông tin > Máy chủ. Với cPanel, xem trong MultiPHP Manager hoặc Select PHP Version.

php -v
php -r 'echo PHP_VERSION, PHP_EOL;'

Các nhánh PHP còn được vá bảo mật theo php.net:

• PHP 8.5, 8.4: hỗ trợ đầy đủ.
• PHP 8.3: chỉ vá bảo mật, đến 31/12/2027.
• PHP 8.2: chỉ vá bảo mật, đến 31/12/2026.
• PHP 8.1, 8.0, 7.x, 5.x: đã hết hỗ trợ, nhiều khả năng không có bản vá.

2. Đang chạy PHP 8.1 trở xuống? Nâng cấp lên 8.3

Đây là việc quan trọng nhất nếu website còn ở PHP 7.4 hay 8.1. Đừng đợi bản vá, vì có thể bản vá sẽ không bao giờ đến cho các nhánh này. Hãy thử trên bản sao (staging) trước, cập nhật plugin và theme, rồi mới chuyển bản chính thức. PHP 8.3 là lựa chọn cân bằng: tương thích tốt và còn được vá đến cuối 2027.

3. Sao lưu trước khi động vào máy chủ

Sao lưu toàn bộ mã nguồn và cơ sở dữ liệu, và kiểm tra là khôi phục được. Ví dụ với MySQL/MariaDB:

mysqldump --single-transaction ten_database > backup-$(date +%F).sql
tar czf code-$(date +%F).tar.gz /duong/dan/website

4. Biện pháp tạm (không thay được bản vá)

Một số nhà cung cấp hosting đang tạm tắt tính năng session upload progress để phòng xa. Tài liệu PHP vốn khuyên tắt tính năng này khi website không dùng thanh tiến trình tải file. Chưa có xác nhận tính năng này liên quan tới 2 lỗ hổng, nên chỉ coi đây là phòng xa.

; php.ini
session.upload_progress.enabled = 0

; hoặc trong pool PHP-FPM
php_admin_flag[session.upload_progress.enabled] = off

Lưu ý: gọi ini_set() trong code không có tác dụng với thiết lập này. Sau khi đổi phải khởi động lại PHP-FPM hoặc LiteSpeed.

5. Cài bản vá ngay khi có

Bản vá từ php.net ra lúc 21:00 tối nay, nhưng gói cài đặt của từng hệ điều hành hay control panel có thể ra chậm hơn vài giờ đến vài ngày:

• cPanel (EasyApache 4): cập nhật các gói ea-php* qua yum update / dnf update khi cPanel phát hành.
• CloudLinux (alt-php): cập nhật gói alt-php*.
• DirectAdmin: build lại PHP bằng CustomBuild.
• Ubuntu/Debian: apt update && apt upgrade (gói của bản phân phối hoặc PPA ondrej/php).
• Plesk: theo dõi thông báo của Plesk, các lần trước thường mất khoảng 4 ngày.
• Docker: kéo lại image php:* mới và build lại container.

# cPanel / CloudLinux
yum update 'ea-php*' 'alt-php*'

# Ubuntu / Debian
apt update && apt install --only-upgrade 'php8.3*'

# DirectAdmin
cd /usr/local/directadmin/custombuild && ./build update && ./build php

6. Kiểm tra lại website sau khi cập nhật

Mở trang chủ, đăng nhập quản trị, thử giỏ hàng/thanh toán, gửi form liên hệ, và xem log lỗi PHP. Với WHMCS, kiểm tra thêm cron và các module (ModulesGarden đã thông báo các module hiện tại hỗ trợ PHP 8.3).

Lệnh chi tiết cho máy chủ cPanel và DirectAdmin

Chạy với quyền root qua SSH. Nên sao lưu trước khi chạy. Đổi 83 thành phiên bản PHP bạn đang dùng.

cPanel / WHM (EasyApache 4, CloudLinux)

Bước 1: Xem các bản PHP đã cài và website nào đang dùng bản nào

whmapi1 php_get_installed_versions
whmapi1 php_get_vhost_versions | grep -E "vhost:|version:"
ls /opt/cpanel/ | grep ea-php
ls /opt/alt/ | grep php

Bước 2: Biện pháp tạm, tắt session upload progress trên mọi bản PHP

for d in /opt/cpanel/ea-php*/root/etc/php.d /opt/alt/php*/etc/php.d; do
  [ -d "$d" ] && echo "session.upload_progress.enabled = 0" > "$d/zz-upload-progress-off.ini"
done
/scripts/restartsrv_apache_php_fpm
/scripts/restartsrv_httpd
# Nếu dùng LiteSpeed thay Apache:
/usr/local/lsws/bin/lswsctrl restart

Bước 3: Cài bản vá khi cPanel / CloudLinux phát hành gói mới

yum clean all
yum update 'ea-php*' 'alt-php*'
/scripts/restartsrv_apache_php_fpm
/scripts/restartsrv_httpd

Bước 4: Kiểm tra lại

/opt/cpanel/ea-php83/root/usr/bin/php -v
/opt/cpanel/ea-php83/root/usr/bin/php -i | grep upload_progress.enabled
rpm -qa --last | grep -E 'ea-php|alt-php' | head

Website nào còn chạy PHP 7.x, 8.0, 8.1: vào WHM > MultiPHP Manager (hoặc cPanel > Select PHP Version trên CloudLinux) để chuyển sang 8.3, rồi kiểm tra lại website.

DirectAdmin (CustomBuild)

Bước 1: Xem các bản PHP đang cấu hình

cd /usr/local/directadmin/custombuild
grep -E '^php[0-9]_(release|mode)' options.conf
/usr/local/php83/bin/php -v

Bước 2: Biện pháp tạm, tắt session upload progress

for d in /usr/local/php*/lib/php.conf.d; do
  [ -d "$d" ] && echo "session.upload_progress.enabled = 0" > "$d/99-upload-progress-off.ini"
done
# PHP-FPM:
systemctl restart 'php-fpm*'
# OpenLiteSpeed / LiteSpeed (lsphp):
systemctl restart lsws

Bước 3: Cài bản vá khi CustomBuild có bản PHP mới

cd /usr/local/directadmin/custombuild
./build update
./build versions
./build php
./build rewrite_confs

Muốn chuyển PHP chính từ bản cũ lên 8.3:

./build set php1_release 8.3
./build php
./build rewrite_confs

Bước 4: Kiểm tra lại

/usr/local/php83/bin/php -v
/usr/local/php83/bin/php -i | grep upload_progress.enabled

Lưu ý: file cấu hình trong php.d / php.conf.d sẽ giữ nguyên khi cập nhật PHP. Khi php.net đã công bố chi tiết và bạn cài xong bản vá, có thể xoá file *upload-progress-off.ini nếu website cần thanh tiến trình tải file.

TND đang làm gì?

• Theo dõi bản phát hành của php.net và các gói cập nhật của cPanel, CloudLinux, DirectAdmin, Ubuntu.
• Áp bản vá cho hosting và máy chủ do TND quản lý ngay khi gói cập nhật có sẵn.
• Liên hệ các khách hosting còn chạy PHP cũ (7.4, 8.1, 5.6) để hỗ trợ chuyển lên PHP 8.3.
• Khách dùng VPS tự quản cần tự cập nhật PHP trên VPS của mình. Nếu cần, TND hỗ trợ kiểm tra và cập nhật giúp.

Nguồn tham khảo

• php.announce #509: Upcoming Critical PHP Security Release
• php.net: Supported Versions
• Wordfence: PSA Upcoming Critical PHP Security Release
• Help Net Security: A critical PHP security release is coming today

Bài viết cập nhật lúc 18:40 ngày 21/10/2026. TND sẽ bổ sung phiên bản bị ảnh hưởng và phiên bản đã vá khi php.net công bố.