Nhóm phát triển PHP vừa phát hành phiên bản 8.2.35, một bản cập nhật bảo mật khẩn cấp. Bản vá này sửa hai lỗ hổng nghiêm trọng là CVE-2026-109618 và CVE-2026-109619. Theo thông báo, cả hai có thể cho phép kẻ tấn công thực thi mã từ xa mà không cần đăng nhập.

Không có cách giảm thiểu khác

Điểm đáng lo nhất là nhóm phát triển cho biết không có biện pháp giảm thiểu nào đầy đủ. Cách an toàn duy nhất là cập nhật ngay lên 8.2.35. Với các quản trị viên, đây là việc cần làm ngay, không nên để sang tuần sau.

Vì sao người dùng bình thường cũng cần quan tâm

PHP là ngôn ngữ nằm sau rất nhiều website, từ blog cá nhân, trang bán hàng đến các hệ thống quản lý nội dung quen thuộc. Một website chạy PHP chưa vá có thể bị kẻ xấu chiếm quyền điều khiển máy chủ. Hậu quả có thể là lộ dữ liệu khách hàng hoặc bị cài mã độc. Nếu bạn dùng hosting chia sẻ, hãy hỏi nhà cung cấp xem họ đã cập nhật chưa.

Cần lên kế hoạch nâng cấp

PHP 8.2 sẽ hết vòng đời hỗ trợ vào ngày 31 tháng 12 năm 2026 và sau đó không nhận thêm bản vá bảo mật nào. Các doanh nghiệp và nhà phát triển nên sớm chuyển sang phiên bản PHP còn được hỗ trợ. Đây là một tin quan trọng của ngành công nghệ với bất kỳ ai vận hành website.