TND đã vá xong lỗ hổng PHP CVE-2026-109618 và CVE-2026-109619 trên toàn hệ thống

Tóm tắt: Ngay trong đêm 21/10/2026, chỉ vài giờ sau khi PHP phát hành bản vá, TND đã cập nhật toàn bộ hệ thống: NVMe Hosting (cPanel/CloudLinux và DirectAdmin), hệ thống quản lý dịch vụ cloud.tnd.vn, website tnd.vn, hạ tầng máy chủ ảo hoá chạy VPS, tổng đài và hệ thống giám sát. Sau khi vá, đội kỹ thuật đã rà soát lại một lượt và không phát hiện dấu hiệu xâm nhập. Khách hàng dùng NVMe Hosting không cần làm gì thêm.

Lỗ hổng là gì?

Tối 21/10/2026 lúc 21:00 giờ Việt Nam, đội bảo mật PHP phát hành bản vá khẩn cho 2 lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619, mỗi lỗ hổng được chấm 9.2/10 theo CVSS v4.0. Hai lỗi này cho phép thực thi mã từ xa (RCE) mà không cần đăng nhập, ảnh hưởng mọi bản cài PHP phục vụ web: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP và LiteSpeed. Nghĩa là gần như mọi website WordPress, WooCommerce, Laravel, WHMCS... đều nằm trong diện bị ảnh hưởng.

Các bản PHP đã vá chính thức (theo php.net):

Chi tiết kỹ thuật về lỗ hổng xem tại bài cảnh báo trước: PHP đã vá 2 lỗ hổng RCE nghiêm trọng 9.2/10.

TND đã làm gì trong đêm 21/10?

1. NVMe Hosting (cPanel / CloudLinux và DirectAdmin)

• Trước khi có bản vá: tắt tạm tính năng session.upload_progress trên toàn bộ máy chủ hosting, đây là đường khai thác chính của lỗ hổng, để chặn rủi ro trong lúc chờ.
• Ngay khi cPanel, CloudLinux và DirectAdmin phát hành gói: cập nhật mọi phiên bản PHP có trên máy chủ, bao gồm cả các bản cũ (PHP 5.6, 7.x, 8.0, 8.1) bằng bản vá do chính các hãng này backport. Website đang chạy PHP cũ cũng đã được bảo vệ, không phải đổi phiên bản.
• Khởi động lại toàn bộ tiến trình PHP để chắc chắn không còn tiến trình nào chạy bản cũ trong bộ nhớ, sau đó bật lại upload_progress.
• Xác minh bằng changelog gói (không chỉ nhìn số phiên bản), vì một số hãng giữ nguyên số phiên bản khi vá.

2. Hệ thống quản lý dịch vụ và website

Hệ thống quản lý dịch vụ cloud.tnd.vn (nơi quý khách đăng nhập, thanh toán, quản lý dịch vụ) và website tnd.vn đã được cập nhật PHP, cập nhật hệ điều hành và khởi động lại trong đêm.

3. Hạ tầng VPS, tổng đài và các hệ thống khác

• Máy chủ vật lý chạy VPS (Proxmox): cập nhật gói chứng chỉ gốc ca-certificates.
• Tổng đài: cập nhật PHP, hệ điều hành và khởi động lại dịch vụ.
• Hệ thống giám sát, sao lưu và các máy chủ nội bộ: cập nhật PHP và hệ điều hành.
• Node.js: cùng ngày 21/10, Node.js cũng phát hành bản vá bảo mật (22.23.4, 24.22.1, 26.12.1, trong đó có lỗi CVE-2026-111497 liên quan Brotli). TND đã nâng Node.js trên các hệ thống nội bộ. Với Node.js trên NVMe Hosting (Node.js Selector), TND sẽ cập nhật ngay khi CloudLinux phát hành gói mới.
• VPS khách hàng có cài guest agent mà TND hỗ trợ quản trị: đã sao lưu trước, rồi cập nhật PHP.

4. Rà soát dấu hiệu xâm nhập

Sau khi vá, TND đã rà soát toàn bộ máy chủ, tìm file PHP lạ trong thư mục uploads, dấu vết khai thác trong log web, tiến trình đào coin, cron và SSH key mới xuất hiện. Kết quả: không phát hiện dấu hiệu xâm nhập.

Quý khách cần làm gì?

Khách dùng NVMe Hosting

Không cần làm gì. Hệ thống đã được vá. Tuy vậy, nếu website còn chạy PHP 8.1 trở xuống, TND khuyến nghị chuyển lên PHP 8.2 trở lên trong thời gian tới vì các nhánh này đã hết hỗ trợ chính thức.

Khách dùng VPS tự quản trị

Với VPS, quý khách là người quản trị hệ điều hành, nên cần tự cập nhật. Kiểm tra phiên bản PHP:

php -v

Ubuntu / Debian:

sudo apt update && sudo apt upgrade -y
sudo systemctl restart 'php*-fpm' apache2 nginx 2>/dev/null

AlmaLinux / Rocky / CloudLinux:

sudo dnf update -y 'php*' 'ea-php*' 'alt-php*'
sudo systemctl restart php-fpm httpd 2>/dev/null

Lưu ý: Ubuntu, Debian và CloudLinux có thể vá mà giữ nguyên số phiên bản cũ (ví dụ Ubuntu 24.04 vẫn hiện 8.3.6). Kiểm tra bằng changelog của gói:

apt changelog php8.3-cli 2>/dev/null | grep -m1 CVE-2026-109618
rpm -q --changelog ea-php83-php-cli 2>/dev/null | grep -m1 CVE-2026-109618

Nếu VPS có chạy ứng dụng Node.js, hãy nâng lên 22.23.4, 24.22.1 hoặc 26.12.1 trở lên (với Docker: kéo image mới rồi tạo lại container).

Nếu cần hỗ trợ cập nhật, quý khách vui lòng mở ticket tại cloud.tnd.vn, đội kỹ thuật TND sẽ hỗ trợ.