Hai lỗ hổng CVE-2026-109618 và CVE-2026-109619 có mức độ nghiêm trọng 9,2/10 điểm, tồn tại ít nhất hai năm qua.
PHP hiện được sử dụng trên 69,3% trang web toàn cầu, bao gồm các nền tảng phổ biến như WordPress, Drupal và Joomla.
Palo Alto Networks xác định hơn 22,6 triệu máy chủ có nguy cơ bị ảnh hưởng bởi lỗ hổng này.
CEO Cloudflare Matthew Prince ghi nhận hàng triệu nỗ lực khai thác chỉ trong thời gian ngắn sau khi thông tin được công bố.
PHP Foundation thừa nhận sự chậm trễ trong việc vá lỗi là do thất bại về cấu trúc và thiếu hụt nguồn lực.
Các chuyên gia khuyến cáo quản trị viên cần lập tức cập nhật lên các phiên bản PHP mới nhất như 8.5.12 hoặc 8.4.27 để đảm bảo an toàn.
Hai lỗ hổng PHP2Shell đã tồn tại từ lâu và gần như không bị phát hiện, cho đến khi AI giúp phơi bày chúng ra ánh sáng.
Ngày 21/10, PHP Foundation, tổ chức phi lợi nhuận đứng sau ngôn ngữ lập trình PHP, công bố hai lỗ hổng bảo mật mã CVE-2026-109618 và CVE-2026-109619 (gọi chung là PHP2Shell) đang tồn tại trên nền tảng kèm bản cập nhật. Cả hai có mức độ nghiêm trọng rất cao 9,2/10 điểm, tức có thể giúp hacker thực thi mã từ xa, chạy lệnh độc hại trên máy chủ bị ảnh hưởng.
