PHP2Shell là gì?
PHP2Shell gồm CVE-2026-109618 và CVE-2026-109619, lỗi bộ nhớ trong PHP với CVSS v4.0 9,2. Đã chứng minh thực thi mã không xác thực và rò rỉ bộ nhớ. PHP phát hành sửa lỗi ngày 21/10/2026. Đây không chỉ là lỗi của một CMS.
Môi trường nào cần kiểm tra?
Cập nhật mọi PHP Web: FPM, mod_php, php-cgi, FrankenPHP và LiteSpeed. WordPress, Drupal, Joomla, MediaWiki, Laravel và ứng dụng riêng đều kế thừa rủi ro. Bao gồm bảng quản trị, thiết bị, thử nghiệm và container. Cập nhật ứng dụng không thay PHP.
FPM có được miễn không?
Không. FPM dừng tiến trình con khi khởi động yêu cầu thất bại, chặn một số chuỗi ban đầu. Các đường trong ứng dụng và giữa yêu cầu vẫn còn. Không phải mọi môi trường giống mod_php, nhưng FPM vẫn cần vá.
Backport của bản phân phối
Ubuntu, Debian và Linux doanh nghiệp có thể giữ số gốc cũ với revision đã vá. Banner 8.3.6 tự nó không chứng minh gì. Đối chiếu OS, kho, kiến trúc và revision cho CẢ HAI CVE. Chúng tôi không đoán ngưỡng gói.
PHP 8.1 và cũ hơn
Không có phát hành PHP thông thường. Backport nguồn tối thiểu 7.4, 8.0 và 8.1 là ngoại lệ; dựng và kiểm chứng thuộc người vận hành. OS hoặc LTS có thể duy trì gói. Nghiên cứu từ 5.4 với điều kiện khác nhau. Lên kế hoạch chuyển và kiểm tra vá tạm.
Biện pháp tạm thời không đầy đủ
Chỉ bản vá hoàn chỉnh xử lý mọi biến thể. Cấu hình có thể ảnh hưởng tải lên, hiệu năng và khả dụng. Áp dụng ở mức quản trị trước phân tích, khởi động lại mọi worker. Đọc cả hai thông báo. CDN và WAF không chứng minh đã vá.
Vá không loại trừ xâm nhập
So phiên bản không biết khai thác trước đây. Giữ log và image, điều tra crash, tệp, tiến trình và kết nối ra. Không có lỗi không chứng minh an toàn. Khi nghi ngờ, cô lập và sau kiểm soát sự cố hãy đổi bí mật từ môi trường tin cậy.
Phương pháp đánh giá
Kiểm tra thủ công so sánh phiên bản ổn định đầy đủ trong bốn nhánh công bố. Gói nhà cung cấp cần bằng chứng cho cả hai CVE; bản chưa rõ vẫn chưa rõ. Kiểm tra công khai thu thập phiên bản và dấu hiệu, không chứng minh khai thác. Tiêu đề ẩn, CDN hoặc một bản sao đã vá không chứng minh mọi môi trường đều an toàn. Ngày là thời điểm biên tập kiểm tra.
Máy quét miễn phí chứng minh bị hack?
Không kết luận được. Tiêu đề/mẫu cho gợi ý mà không thấy runtime đầy đủ, lịch sử thiếu hay rò bộ nhớ. Kiểm kê, giữ chứng cứ, đối chiếu. Nếu tài khoản, tiến trình hay rò rỉ không giải thích được, cô lập và gọi hosting/đội ứng cứu.
Thử tấn công hay đã xâm nhập? →