Bài đăng trên Hacker News đưa tin: AI hỗ trợ phát hiện lỗ hổng RCE nghiêm trọng trong PHP
Wiz Research cho biết họ đã phát hiện hai nhóm lỗ hổng an toàn bộ nhớ nghiêm trọng trong PHP, được theo dõi dưới CVE-2026-109618 và CVE-2026-109619, với mức độ nghiêm trọng lên tới CVSS 9.2. Các lỗi này có thể cho phép kẻ tấn công không cần xác thực đọc dữ liệu từ bộ nhớ của tiến trình PHP hoặc thực thi mã từ xa trên máy chủ, trong đó có các hệ thống chạy WordPress, Drupal và Joomla. Theo báo cáo, các phiên bản PHP từ 5.4 trở đi đều bị ảnh hưởng ở ít nhất một lỗi, và PHP đã phát hành bản vá vào ngày 21/10/2026. Các lỗi bắt nguồn từ cách PHP xử lý lỗi nghiêm trọng—đặc biệt là tình trạng hết bộ nhớ—khiến trạng thái nội bộ bị hỏng và có thể được các yêu cầu hoặc worker sau đó tái sử dụng. Wiz cho biết họ đã kết hợp nhiều lỗi thành một công cụ khai thác có tên php2shell; các mô hình AI tiên tiến giúp nối chuỗi lỗi, thích ứng với bố cục bộ nhớ khác nhau và xây dựng các bản thử nghiệm hoạt động trong vài giờ thay vì mất nhiều thời gian làm thủ công. Vùng bộ nhớ bị lộ có thể chứa mật khẩu, token xác thực, khóa API và chứng chỉ, trong khi lỗi nằm ở chính lõi PHP chứ không phụ thuộc vào một CMS cụ thể. Rủi ro thực tế là các website dùng PHP dễ bị ảnh hưởng ngay cả khi mã ứng dụng của họ không có lỗi, vì vậy quản trị viên nên cài bản cập nhật bảo mật PHP sớm nhất có thể và áp dụng biện pháp giảm thiểu tạm thời từ các nhà cung cấp hạ tầng nếu chưa thể vá ngay.
Quản trị viên máy chủ và website WordPress, Drupal hoặc Joomla nên ưu tiên cập nhật PHP theo bản vá ngày 21/10/2026, vì lỗ hổng có thể cho phép chạy mã từ xa mà không cần đăng nhập. Nếu chưa thể vá ngay, hãy theo dõi hướng dẫn giảm thiểu rủi ro từ PHP và các nhà cung cấp hạ tầng; AI khiến việc khai thác các lỗi phức tạp trở nên dễ thực hiện hơn.
Đọc bài gốc