Ngày 21/10/2026, cộng đồng phát triển phần mềm thế giới phải xử lý cùng lúc hai đợt cảnh báo bảo mật quan trọng: lỗ hổng PHP2Shell của ngôn ngữ PHP và bản vá bảo mật khẩn của Node.js. Bài viết này tóm tắt tình hình, những việc Haposoft đã làm cho các hệ thống đang vận hành, và những điều doanh nghiệp nên kiểm tra ngay.

1. Chuyện gì đã xảy ra?

PHP2Shell (CVE-2026-109618, CVE-2026-109619) gồm hai lỗ hổng cho phép kẻ tấn công chạy mã tùy ý trên máy chủ chỉ bằng một request, không cần đăng nhập. Cả hai được chấm 9.2/10 theo thang CVSS v4.0.

• Lỗ hổng ảnh hưởng hầu hết các phiên bản PHP từ 5.4 trở lên.
• Nhóm phát hiện đã chứng minh tấn công thành công trên nhiều nền tảng phổ biến như WordPress, Laravel, Magento, Drupal, phpMyAdmin.
• Tấn công thực tế đã được ghi nhận ngay sau khi bản vá phát hành.
• PHP đã phát hành bản vá cho các phiên bản 8.2 đến 8.5. Các phiên bản PHP 8.1 trở xuống đã hết hỗ trợ: đội PHP chỉ phát hành bản vá backport dạng mã nguồn cho 7.4, 8.0 và 8.1 (cần tự build lại); các phiên bản cũ hơn không có bản vá từ PHP, chỉ một số nhà phân phối như Ubuntu Pro cung cấp bản vá backport.

Node.js đồng thời phát hành bản vá cho nhiều lỗ hổng, trong đó đáng chú ý nhất là lỗi trong bộ giải nén Brotli (CVE-2026-111497) và hai lỗi vượt qua kiểm tra hostname TLS, đều ở mức High. Node.js 20 đã hết hỗ trợ và không được vá.

Với Python, hiện chưa có đợt lỗ hổng khẩn cấp tương tự. Tuy vậy, các hệ thống đang chạy phiên bản cũ (3.10 trở xuống) nên được lên kế hoạch nâng cấp.

2. Haposoft đã xử lý như thế nào?

Ngay khi dự án PHP (PHP Foundation) phát đi thông báo trước về bản vá vào ngày 20/10, Haposoft đã kích hoạt quy trình ứng phó cho toàn bộ các dự án đang vận hành:

• Rà soát toàn bộ hệ thống: kiểm kê phiên bản PHP, hệ điều hành và môi trường hosting của từng dự án, bao gồm cả môi trường production và staging.
• Thông báo chủ động cho khách hàng ngay trong ngày 21/10, kèm đánh giá mức độ rủi ro và phương án đề xuất riêng cho từng hệ thống.
• Cập nhật bản vá ngay khi phát hành (21:00 tối 21/10 giờ Việt Nam): các hệ thống dùng PHP 8.2 đến 8.5 được nâng lên bản vá mới nhất ngay trong đêm 21/10 và ngày 22/10.
• Xử lý linh hoạt cho các phiên bản cũ: áp dụng bản vá backport cho PHP 7.4 / 8.0 / 8.1 với những hệ thống đủ điều kiện; build lại PHP từ mã nguồn khi cần; phối hợp với nhà cung cấp hosting đối với các website dùng shared hosting.
• Che chắn tạm thời khi chưa thể vá ngay: giới hạn truy cập (xác thực hoặc giới hạn IP) để chặn request trước khi tới PHP.
• Tạm dừng dịch vụ theo quyết định của khách hàng đối với các hệ thống dùng phiên bản quá cũ, không còn bản vá. Đây là cách bảo vệ dữ liệu khách hàng an toàn nhất trong lúc lên kế hoạch nâng cấp.
• Đồng thời rà soát các dự án Node.js và Python để lên kế hoạch cập nhật tiếp theo.

Hướng xử lý theo từng phiên bản PHP:

Phiên bản PHP	Hướng xử lý
8.2 – 8.5	Cập nhật lên bản vá chính thức (8.2.35 / 8.3.36 / 8.4.27 / 8.5.12)
7.4 / 8.0 / 8.1	Áp dụng bản vá backport chính thức từ PHP (dạng mã nguồn, cần build lại) hoặc từ nhà phân phối, đồng thời lên kế hoạch nâng cấp
7.3 trở xuống	Không có bản vá từ PHP: dùng bản vá của nhà phân phối nếu có (ví dụ Ubuntu Pro); nếu không, che chắn tạm thời hoặc tạm dừng, sau đó nâng cấp
Shared hosting	Phối hợp với nhà cung cấp hosting để xác nhận và cập nhật

Đến ngày 22/10, các hệ thống đang vận hành do Haposoft quản lý đã được cập nhật bản vá, áp dụng biện pháp giảm thiểu rủi ro tạm thời hoặc tạm dừng theo thống nhất với khách hàng. Với các dự án đang tạm dừng, Haposoft tiếp tục đồng hành cùng khách hàng xây dựng kế hoạch nâng cấp và khôi phục dịch vụ an toàn trong thời gian sớm nhất.

3. Doanh nghiệp nên làm gì ngay?

Nếu doanh nghiệp đang vận hành website hoặc hệ thống viết bằng PHP hay Node.js, hãy kiểm tra ngay:

1. Phiên bản đang dùng: các bản đã vá là PHP 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 (theo từng nhánh) và Node.js 22.23.4 / 24.22.1 / 26.12.1. Nếu hệ thống đang chạy phiên bản thấp hơn các phiên bản này, nghĩa là chưa được vá: cần cập nhật ngay hoặc liên hệ Haposoft để được hỗ trợ kịp thời.
2. Hệ thống có đang chạy phiên bản đã hết hỗ trợ không (PHP 8.1 trở xuống, Node.js 20, Ubuntu 20.04)? Nếu có, cần lên kế hoạch nâng cấp ngay.
3. Website trên shared hosting: liên hệ nhà cung cấp hosting để xác nhận họ đã cập nhật.
4. Kiểm tra dấu hiệu bất thường: file lạ trong thư mục website, tài khoản quản trị mới, tác vụ định kỳ (cron) lạ.

4. Cần hỗ trợ? Hãy liên hệ Haposoft

Nếu doanh nghiệp chưa rõ hệ thống của mình có bị ảnh hưởng hay không, hoặc cần hỗ trợ kiểm tra, vá lỗi, nâng cấp PHP, Node.js hay hệ điều hành, hãy liên hệ Haposoft để được hỗ trợ xử lý kịp thời. Đối với các hệ thống không do Haposoft phát triển, đội ngũ kỹ thuật của chúng tôi sẽ khảo sát và đưa ra phương án nâng cấp phù hợp.

Liên hệ: contact@haposoft.com

Facebook: https://facebook.com/haposolutions