---
title: "Lỗ hổng PHP nghiêm trọng: chủ website nên nhắn hosting vá ngay"
description: "Hai lỗ hổng PHP nghiêm trọng ảnh hưởng nhiều website WordPress. Xem bạn có bị không, cần cập nhật PHP bản nào và tin nhắn mẫu gửi hosting."
canonical: "https://200lab.io/blog/lo-hong-php-thang-10-2026-chu-website-can-lam-gi"
published: "2026-10-24T02:54:44Z"
updated: "2026-10-24T04:47:43Z"
authors: ["Mỹ Ngọc"]
tags: ["AI", "Tips and tricks", "Agent"]
reading_minutes: 7
access: "public"
---

Ngày 21/10/2026, nhóm phát triển PHP công bố hai lỗ hổng bảo mật nghiêm trọng, cho phép kẻ xấu can thiệp vào máy chủ mà không cần tài khoản đăng nhập. PHP đang chạy phía sau khoảng 70% website, trong đó có WordPress, nên rất có thể trang bán hàng hay trang giới thiệu của bạn cũng nằm trong số đó.

Tin tốt là bạn không cần biết code để xử lý. Việc chính chỉ là kiểm tra phiên bản và nhắn bên hosting.

## Lỗ hổng PHP tháng 10/2026 là gì và vì sao nghiêm trọng

Hai lỗ hổng có mã CVE-2026-109618 và CVE-2026-109619. Nói đơn giản: kẻ xấu có thể khiến máy chủ chạy lệnh của họ chỉ bằng cách gửi yêu cầu tới website, không cần mật khẩu hay tài khoản gì cả.

Theo TechCrunch, lỗi nằm trong mọi phiên bản tính từ PHP 5, tức là đã tồn tại từ khoảng năm 2004. Một số ước tính cho rằng hơn 33 triệu website chạy PHP. Cơ quan an ninh NSA của Mỹ cũng lên tiếng: nếu chưa vá ngay được thì nên tạm gỡ site xuống cho tới khi vá xong.

Điểm đỡ lo hơn một chút: lỗi được công bố theo kiểu có trách nhiệm, tức là các bên phân phối được báo trước để chuẩn bị bản vá, và lúc công bố chưa ghi nhận trường hợp bị khai thác ngoài thực tế. Nhưng "chưa ghi nhận" không có nghĩa là sẽ không xảy ra.

## Website WordPress của bạn có bị ảnh hưởng không

Theo thông báo chính thức của PHP, mọi bản cài PHP đang phục vụ website đều nằm trong diện rủi ro, dù máy chủ chạy theo kiểu nào (PHP-FPM, Apache mod_php, php-cgi, [FrankenPHP](https://github.com/php/frankenphp) hay LiteSpeed). PHP đánh giá rủi ro cao nhất với kiểu Apache mod_php.

Nếu bạn dùng WordPress, đây là chỗ dễ hiểu nhầm. Cập nhật WordPress, theme hay plugin không giải quyết được chuyện này. Phía WordPress đã nói rõ lỗi không riêng gì WordPress, chủ site cần vá ở máy chủ và làm việc với nhà cung cấp hosting. Nói cách khác, lỗi nằm ở "nền nhà" chứ không phải ở "đồ đạc" trong nhà.

Các bản đã được vá là PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Còn PHP 8.1 trở xuống thì dự án PHP không cập nhật nữa. Nếu website của bạn còn chạy bản cũ như vậy, đây là lúc nên nâng lên bản còn được hỗ trợ.

## Cách kiểm tra phiên bản PHP và nhắn hosting để vá

Với WordPress, bạn có thể vào trang quản trị, mở mục Công cụ, chọn Tình trạng trang web, sang tab Thông tin và xem phần Máy chủ. Ở đó có ghi phiên bản PHP. Nhiều trang quản lý hosting cũng có mục chọn phiên bản PHP.

Có một điều cần biết: con số phiên bản không phải lúc nào cũng nói hết. PHP cho biết các bản phân phối Linux và nhà cung cấp hỗ trợ dài hạn đã nhận bản vá từ trước, và một số bên vá lại cho cả bản cũ. Vì vậy cách chắc nhất vẫn là hỏi thẳng bên hosting. Bạn có thể copy tin nhắn dưới đây:

> Chào anh/chị, website của em là [tên miền]. Ngày 21/10/2026 PHP vừa công bố hai lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619. Bên mình đã cập nhật PHP lên bản vá (8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35) hoặc đã áp bản vá tương đương cho máy chủ của em chưa ạ? Nếu chưa, khi nào bên mình xử lý xong? Website em đang chạy PHP [phiên bản], nếu bản này hết hỗ trợ thì em cần làm gì để chuyển lên bản mới? Em cảm ơn.

Nếu bạn tự quản máy chủ hoặc có người làm kỹ thuật giúp, thông báo của PHP có liệt kê vài biện pháp tạm thời cho người quản trị máy chủ, kèm lời nhắn rõ: chúng chỉ giảm rủi ro, không làm máy chủ an toàn. Chi tiết nằm ở link thông báo cuối bài, phần này nên để người rành kỹ thuật làm.

## Dùng bot, AI agent như Codex để kiểm tra phiên bản PHP

Nếu bạn đang làm "công ty một người" với bot hay agent, OpenAI có đưa lên GitHub một công cụ tên [php2shell-checker](https://github.com/openai/php2shell-checker). Theo phần mô tả của công cụ, nó đọc phiên bản PHP mà website tự "khai" ra qua phần header (thông tin kèm theo mỗi lần trả trang), rồi trả về một trong ba kết quả: `OK`, `POTENTIALLY VULNERABLE` (có thể bị lỗi) hoặc `UNKNOWN`. Nó không gửi mã tấn công nào.

Bạn có thể nhờ agent chạy công cụ này cho website của mình, nhưng nhớ ba điều. Thứ nhất, `OK` chỉ nói về phiên bản mà website khai ra, không có nghĩa là website an toàn. Thứ hai, nhiều hosting ẩn thông tin này, khi đó kết quả sẽ là `UNKNOWN`.

Thứ ba, chỉ nên kiểm tra website của chính mình. Kết quả nào cũng vậy, tin nhắn gửi hosting ở trên vẫn nên gửi.

## AI vừa tìm ra lỗi vừa khiến lỗi dễ bị khai thác hơn

Theo TechCrunch, một trong hai lỗi được công ty Calif tìm ra bằng GPT-5.6 Sol, trong sáng kiến "Patch the Planet" của OpenAI. Công ty bảo mật Wiz cũng dùng AI, gồm Wiz Atlas, Gemini 4 Argon và GPT-5.6 Sol, và tìm ra nhiều lỗi. Wiz đồng thời cảnh báo rằng với AI, rào cản để khai thác lỗi gần như không còn, vì mô hình ngôn ngữ có thể giúp chỉnh sửa mã tấn công cho hợp từng trường hợp.

Theo mình, chuyện này đáng chú ý ở chỗ cùng một loại công cụ đang chạy ở cả hai phía. Những lỗi nằm im hơn hai mươi năm được AI lôi ra, nhưng kẻ xấu cũng có AI trong tay. Khoảng thời gian từ lúc lỗi được công bố tới lúc có người khai thác vì thế có thể ngắn hơn trước nhiều. Với người dùng bot như mình và bạn, mình thấy bài học khá thực tế: cuộc đua vá là có thật, và "để tuần sau tính" không còn là lựa chọn an toàn.

Nhìn các tín hiệu trong vụ này, từ việc OpenAI có hẳn một sáng kiến đi tìm lỗi, Wiz dùng nhiều mô hình cùng lúc, tới việc NSA khuyên gỡ site nếu chưa vá, mình đoán sắp tới các đợt công bố lỗi lớn kiểu này sẽ dày hơn. Đây chỉ là dự đoán của mình. Nhưng nếu đúng, thói quen hỏi hosting "đã vá chưa" mỗi khi có tin bảo mật lớn sẽ đáng giá hơn bất kỳ mẹo nào.

Nếu bạn muốn rèn cách nghĩ khi làm việc với AI, kiểu biết vấn đề nằm ở tầng nào trước khi giao việc cho agent, khóa miễn phí [Làm chủ tư duy trong thời đại AI](https://200lab.io/courses/lam-chu-tu-duy-trong-thoi-dai-ai-tu-duy-he-thong-cach-giao-viec-va-quan-ly-agent) của 200Lab là một điểm bắt đầu nhẹ nhàng.

## Nguồn

- Thông báo bảo mật chính thức của PHP (21/10/2026): [php.net](https://www.php.net/archive/2026.php#2026-10-21-5)
- TechCrunch (21/10/2026): [PHP armageddon: OpenAI, Google's Wiz find ancient holes](https://techcrunch.com/2026/10/21/php-armageddon-openai-googles-wiz-find-ancient-holes-panicking-the-internet)
- Công cụ kiểm tra phiên bản của OpenAI: [openai/php2shell-checker](https://github.com/openai/php2shell-checker)

## Đọc thêm

- [Tạo skill cho bot: đừng để AI agent tự biên tự diễn với khách](https://200lab.io/blog/skill-la-gi-so-tay-cho-bot-ai.md): Dặn bot mỗi lần một kiểu thì AI agent dễ tự hứa bừa với khách. Mình thử viết skill như sổ tay cho bot và rút ra 4 cách viết để bot làm đúng.
- [Lần đầu để AI tự làm việc, mình nhận về một đống hỗn độn](https://200lab.io/blog/lan-dau-de-ai-tu-lam-viec-minh-nhan-ve-mot-dong-hon-don.md): Giao việc cho AI chỉ bằng một câu thì AI tự bịa thêm. Mình thử 3 việc theo 2 cách, rút ra 3 câu hỏi giúp AI làm đúng ý, đỡ phải sửa.
- [Cách để website đạt Agent Ready - Chỉ có llms.txt hay render Markdown là chưa đủ](https://200lab.io/blog/cach-de-website-dat-agent-ready.md): llms.txt và bản Markdown mới là phần dễ thấy. Website Agent Ready còn cần twin đúng quyền, negotiation an toàn, cache không nhầm và UI cho Agent dùng browser.
- [Biệt đội models nhà Anthropic](https://200lab.io/blog/chon-model-claude-haiku-sonnet-opus-fable.md): Haiku, Sonnet, Opus và Fable khác nhau ở đâu, việc nào nên giao cho model nào? Góc nhìn từ trải nghiệm dùng nhà A của mình từ thời Claude 3.
- [Claude Code Plugin là gì? Top 10 plugin Claude Code nên cài](https://200lab.io/blog/claude-plugins-la-gi.md): Plugin biến cách làm việc của một người thành gói cài được bằng một lệnh. Bài viết giải thích Claude Code plugin là gì và gợi ý top 10 plugin Claude Code đáng dùng nhất hiện nay.
- [Mọi bài viết chủ đề AI](https://200lab.io/blog/tags/ai.md)

Toàn bộ nội dung: https://200lab.io/llms.txt