Vào ngày 21 tháng 10 năm 2026, dự án PHP đã phát hành các bản cập nhật khẩn cấp cho hai lỗi nghiêm trọng cho phép kẻ tấn công chưa xác thực chạy mã trên máy chủ web. Cặp lỗi này được theo dõi với mã CVE-2026-109618 và CVE-2026-109619, mang tên PHP2Shell . Cả hai đều đạt điểm 9.2 theo CVSS v4.0, cả hai đều ảnh hưởng đến mọi cấu hình PHP phục vụ HTTP, và các honeypot của Amazon đã ghi nhận các nỗ lực khai thác vào ngày 17 tháng 10, bốn ngày trước khi bản vá tồn tại.

Dùng thử Apidog ngay hôm nay

PHP chạy trên 69,3% các trang web có ngôn ngữ phía máy chủ được xác định (W3Techs). Nếu bạn vận hành một API PHP, một backend Laravel hay Symfony, một trang WordPress, hoặc một container image được đóng gói sẵn PHP, thì đây chính là vấn đề của bạn.

Hướng dẫn này trình bày các lỗi này gây ra điều gì, những phiên bản nào bị ảnh hưởng, cách kiểm tra máy chủ của bạn, các biện pháp giảm thiểu thực sự mang lại điều gì, và cách chứng minh API của bạn vẫn hoạt động sau khi vá.

TL;DR

Câu hỏi Trả lời

Đây là gì?…