Nếu website của bạn làm bằng WordPress, gần đây có thể bạn đã nhận được thông báo từ nhà cung cấp hosting, hoặc thấy tin "PHP lộ lỗ hổng nghiêm trọng". Bài này giải thích bằng lời dễ hiểu: chuyện gì đã xảy ra, ảnh hưởng thế nào đến chủ website, website nào cần chú ý, và vì sao website C Building không bị ảnh hưởng lần này.
Chuyện gì đã xảy ra?
PHP là một ngôn ngữ lập trình dùng để làm website. WordPress, Drupal, Joomla, Magento, cùng rất nhiều website do các công ty nhận làm web viết cho khách, đều chạy bằng PHP: mỗi lần có người mở trang, PHP trên máy chủ lại chạy một lần để tạo ra trang đó.
Ngày 21 tháng 10 năm 2026, PHP chính thức phát hành bản vá cho hai lỗ hổng nghiêm trọng, mã số CVE-2026-109618 và CVE-2026-109619, giới bảo mật gọi là PHP2Shell.
Nói đơn giản: kẻ tấn công không cần tài khoản hay mật khẩu website của bạn, chỉ cần gửi một yêu cầu được tạo đặc biệt đến website là có thể chạy mã của họ trên máy chủ của bạn. Giống như có người không cần chìa khóa mà vẫn đi thẳng qua cửa chính vào cửa hàng của bạn.
Lỗ hổng này nghiêm trọng đến mức nào?
- Mức độ nghiêm trọng 9,2 điểm (trên thang 10): thuộc mức "nguy cấp".
- Không liên quan bạn cài plugin gì: vấn đề nằm ở chính PHP. Công ty bảo mật Patchstack cho biết, ngay cả một trang chỉ có một dòng "Hello World", nếu phiên bản PHP có lỗ hổng thì vẫn có thể bị tấn công.
- Phạm vi ảnh hưởng rất rộng: gần như mọi phiên bản PHP từ 5.4 trở đi đều bị ảnh hưởng. Khi công bố phân tích, Palo Alto Networks phát hiện hơn 22,6 triệu máy chủ trên mạng có thể bị ảnh hưởng.
- Đã có người lợi dụng: ngày 26 tháng 10, Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã đưa hai lỗ hổng này vào danh sách "lỗ hổng đã biết đang bị khai thác", và khuyên những hệ thống chưa thể cập nhật ngay nên tạm ngưng hoạt động.
Ảnh hưởng thực tế đến chủ website
Một khi kẻ tấn công chạy được mã trên máy chủ, hậu quả thường gặp gồm:
- Website bị cài "cửa hậu" để họ quay lại bất cứ lúc nào
- Website bị sửa để chuyển hướng sang trang lừa đảo hoặc cờ bạc
- Dữ liệu khách hàng, dữ liệu thành viên thu qua biểu mẫu bị rò rỉ
- Máy chủ bị dùng để gửi thư rác hoặc đào tiền ảo, khiến nhà cung cấp hosting khóa tài khoản của bạn
- Google gắn nhãn website của bạn là "trang web nguy hiểm", cả thứ hạng tìm kiếm lẫn niềm tin của khách đều bị ảnh hưởng
Điều phiền nhất là: website bị xâm nhập có thể trông hoàn toàn bình thường, đến khi phát hiện thì đã qua mấy tuần.
Website nào cần chú ý?
Bất kỳ website nào chạy PHP trên máy chủ đều cần kiểm tra xem PHP đã được cập nhật chưa. Các trường hợp thường gặp:
Đặc biệt chú ý hai trường hợp:
- PHP 8.1 hoặc cũ hơn: các phiên bản vá mà PHP phát hành là 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Các phiên bản trước 8.1 đã không còn được hỗ trợ chính thức, và CISA khuyên các hệ thống này nên tạm ngưng hoạt động cho đến khi cập nhật. Nếu hosting của bạn vẫn dùng phiên bản cũ, đã đến lúc nâng cấp.
- Bản thân WordPress cũng có lỗ hổng: cùng tháng đó, lõi WordPress có thêm một lỗ hổng khác (CVE-2026-87902), trong một số điều kiện cũng có thể cho kẻ tấn công chạy mã, và đã bị khai thác. Hãy cập nhật WordPress lên 7.1.2 trở lên.
Nếu website của bạn dùng PHP, đây là những việc có thể làm ngay
- Hỏi nhà cung cấp hosting hoặc lập trình viên: "PHP của mình đã cập nhật lên bản vá chưa?" và đề nghị họ cho biết số phiên bản cụ thể.
- Cập nhật WordPress lên 7.1.2 trở lên, cập nhật luôn cả plugin và theme.
- Vẫn đang dùng PHP 8.1 hoặc cũ hơn: hỏi nhà cung cấp hosting xem đã vá chưa; nếu chưa, lên kế hoạch nâng cấp.
- Kiểm tra website có gì bất thường: xuất hiện tài khoản quản trị lạ, trang chủ bị sửa, hoặc Google cảnh báo trang web nguy hiểm.
- Đổi các mật khẩu quan trọng: nếu nghi ngờ từng bị xâm nhập, hãy đổi hết mật khẩu trang quản trị website, hosting và cơ sở dữ liệu.
- Đừng cài "plugin vá lỗi" không rõ nguồn gốc: cách sửa triệt để duy nhất là cập nhật PHP; những cách chỉnh cài đặt lan truyền trên mạng chỉ giảm bớt rủi ro.
Vì sao website C Building không bị ảnh hưởng lần này?
1. Website đã xuất bản là các trang web làm sẵn
Khi bạn bấm "Xuất bản" trong C Building, nền tảng sẽ làm sẵn mỗi trang thành một tệp trang web hoàn chỉnh. Khi khách mở website của bạn, máy chủ chỉ gửi đi các tệp đã làm sẵn, không chạy PHP, cũng không chạy mã riêng nào của website. Kẻ tấn công có gửi bao nhiêu yêu cầu đặc biệt đi nữa cũng không có đoạn mã nào để lợi dụng.
Muốn biết nền tảng làm những gì khi xuất bản, hãy đọc Sau khi bấm "Xuất bản", chuyện gì xảy ra?
2. Toàn bộ nền tảng không dùng PHP
Các tính năng cần máy chủ xử lý như nhận biểu mẫu hay hệ thống bài viết đều do nền tảng C Building cung cấp chung, viết bằng Java và TypeScript, không có PHP.
3. Môi trường chỉnh sửa tách biệt với website chính thức
Khi bạn sửa website trong trình chỉnh sửa, hay khi AI của website viết mã giúp bạn, mọi việc diễn ra trong một môi trường chỉnh sửa trên đám mây riêng cho từng website, tách biệt với website chính thức mà khách nhìn thấy.
4. Cập nhật là việc của nền tảng, không phải của bạn
Bạn không cần biết website đang dùng phiên bản gì hay khi nào cần cập nhật. Chúng tôi lo việc cập nhật phần mềm máy chủ; bạn không phải nâng cấp gì, cũng không phải cài plugin.
Nói thẳng: không có PHP không có nghĩa là mãi mãi không có vấn đề bảo mật
Phần mềm nào cũng có thể có lỗ hổng, phần mềm mà C Building dùng cũng vậy. Điểm khác là:
- Ít chỗ để tấn công hơn: website chính thức chỉ gửi đi các tệp trang web làm sẵn, không chạy mã mỗi khi có người truy cập.
- Nền tảng vá lỗi một lần cho tất cả: khi có lỗ hổng, chúng tôi cập nhật một lần và mọi website đều được bảo vệ, không phải chờ từng chủ website tự làm.
- Có sự cố vẫn cứu được: dữ liệu nền tảng được sao lưu mã hóa mỗi ngày; mỗi lần xuất bản website đều được ghi lại, có thể quay về phiên bản trước (xem Sửa hỏng cũng đừng lo).
Câu hỏi thường gặp
Tôi dùng WordPress, có cần chuyển đi ngay không?
Không cần vội. Trước hết hãy nhờ nhà cung cấp hosting hoặc lập trình viên cập nhật PHP và WordPress, đó là việc quan trọng nhất. Nếu bạn thấy mình cứ phải lo chuyện cập nhật, plugin, bảo mật và không muốn quản những thứ này nữa, lúc đó hãy cân nhắc chuyển sang cách làm mà nền tảng lo phần bảo trì. C Building có thể chuyển website WordPress của bạn sang.
Website của tôi đặt trên nền tảng như Wix, Shopify, có cần làm gì không?
Với những dịch vụ mà nền tảng quản lý máy chủ như vậy, việc cập nhật máy chủ do nền tảng chịu trách nhiệm, người dùng thông thường không cần tự cập nhật PHP. Nếu chưa yên tâm, bạn có thể xem nền tảng mình đang dùng có đăng thông báo liên quan không.
Website C Building có biểu mẫu, vậy biểu mẫu không cần máy chủ sao?
Có cần. Dữ liệu gửi từ biểu mẫu được nền tảng C Building xử lý, chứ không phải mã trên website của bạn. Nền tảng do chúng tôi bảo trì và cập nhật chung, và không dùng PHP.
Làm sao biết website của tôi có dùng PHP không?
Nếu website của bạn là WordPress, Drupal, Joomla, hoặc đặt trên gói shared hosting thông thường, thì gần như chắc chắn là dùng PHP. Nếu không chắc, nhanh nhất là hỏi thẳng người làm web cho bạn hoặc nhà cung cấp hosting.
Kết luận
PHP2Shell là một trong những lỗ hổng website ảnh hưởng rộng nhất những năm gần đây, vì nó không kén website, không cần mật khẩu, chỉ cần PHP chưa cập nhật là có rủi ro. Nếu website của bạn dùng PHP, hãy nhờ nhà cung cấp hosting hoặc lập trình viên kiểm tra phiên bản ngay hôm nay.
Nếu bạn không muốn phải lo những chuyện này nữa, cách làm của C Building là: website được xuất bản thành các trang web làm sẵn, việc cập nhật máy chủ do nền tảng lo, bạn chỉ cần tập trung kinh doanh.
Nguồn tham khảo
- Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ CISA: Critical Vulnerabilities in PHP Require Immediate Patching (đăng ngày 21 tháng 10 năm 2026, cập nhật ngày 26 tháng 10)
- Patchstack: Major security alert: PHP vulnerable to critical RCE
- Palo Alto Networks Unit 42: Threat Brief: CVE-2026-109618, CVE-2026-109619
- SiteGround: Critical PHP vulnerabilities: SiteGround sites protected
- CIS: A Vulnerability in WordPress Could Allow for Remote Code Execution (CVE-2026-87902)
Thông tin trên được kiểm tra vào ngày 27 tháng 10 năm 2026. Tình hình bảo mật thay đổi rất nhanh, hãy theo thông báo mới nhất từ PHP và nhà cung cấp hosting của bạn.