← 输入框|vi.wikipedia.org|刷新
Bước tới nội dung

PHP2Shell

Bách khoa toàn thư mở Wikipedia
PHP2Shell
Hệ thống Phabricator của Wikimedia được ghi lại vài giờ trước khi áp dụng bản vá, khi này đã được vô hiệu hóa để đề phòng rủi ro.
CVE-2026-109618
Điểm CVSS 4.09.2
Chuỗi vectơ CVSS 4.0CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Điểm CVSS 3.x9.8
Chuỗi vectơ CVSS 3.xCVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
CVE-2026-109619
Điểm CVSS 4.09.2
Chuỗi vectơ CVSS 4.0CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
Điểm CVSS 3.x8.1
Chuỗi vectơ CVSS 3.xCVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Ngày phát hiện1 tháng 8 năm 2026; 2 tháng trước (2026-08-01)
Ngày phát hành bản vá21 tháng 10 năm 2026; 6 ngày trước (2026-10-21)
Người phát hiệnCalif, OpenAI, Wiz
Phần mềm bị ảnh hưởngCác phiên bản PHP từ 5.4–8.5[1]
Trang webphp2shell.com

PHP2Shell là tên gọi của hai lỗ hổng bảo mật nghiêm trọng (CVE-2026-109618[2] và CVE-2026-109619)[3] ảnh hưởng đến các phiên bản PHP từ 5.4 đến 8.5. Các lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa (Remote Code Execution – RCE), qua đó có khả năng giành quyền kiểm soát máy chủ lưu trữ trang web. Chúng được công bố rộng rãi vào ngày 20 tháng 10 năm 2026.[4] Ngày hôm sau, các bản vá khẩn cấp dành cho PHP 8.2, 8.3, 8.4 và 8.5 cùng thông tin chi tiết về các lỗ hổng được phát hành. Nhiều trang web đã phải tạm thời ngừng hoạt động để cài đặt bản vá, nhằm ngăn chặn nguy cơ bị khai thác.[5]

PHP là một ngôn ngữ lập trình phổ biến, được sử dụng làm nền tảng cho nhiều hệ thống trang web. Hai lỗ hổng này được ước tính sẽ gây ảnh hưởng đến gần 70% số trang web trên toàn thế giới.

Bối cảnh

[sửa | sửa mã nguồn]

Hai lỗ hổng được phát hiện độc lập bởi hai bên: Ryan Austin, nhà nghiên cứu tại Calif,[6] một công ty bảo mật có trụ sở tại California. Cùng với Wiz, công ty bảo mật của Israel và Hoa Kỳ, là công ty con của Alphabet Inc. và thuộc Google Cloud. Austin đã sử dụng mô hình GPT-5.6 Sol để hỗ trợ quá trình phát hiện lỗ hổng trong một đợt đánh giá bảo mật thuộc khuôn khổ dự án "Patch the Planet" của OpenAI vào hồi tháng 8 năm 2026. Trong khi đó, các nhà nghiên cứu của Wiz đã sử dụng hai mô hình ngôn ngữ lớn là Gemini 4 Argon và GPT-5.6 Sol, cùng công cụ nội bộ Wiz Atlas, để hỗ trợ quá trình tìm ra lỗ hổng.

Xem thêm

[sửa | sửa mã nguồn]
  • Log4Shell – Lỗ hồng an ninh phần mềm năm 2021

Tham khảo

[sửa | sửa mã nguồn]
  1. ↑ "PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet". Wiz Blog (bằng tiếng Anh). ngày 21 tháng 10 năm 2026. Lưu trữ bản gốc ngày 21 tháng 10 năm 2026. Truy cập ngày 21 tháng 10 năm 2026.
  2. ↑ "CVE-2026-109618". Mitre. Lưu trữ bản gốc ngày 22 tháng 10 năm 2026. Truy cập ngày 22 tháng 10 năm 2026.
  3. ↑ "CVE-2026-109619". Mitre. Lưu trữ bản gốc ngày 22 tháng 10 năm 2026. Truy cập ngày 22 tháng 10 năm 2026.
  4. ↑ "PHP: News Archive - 20 Oct 2026" (bằng tiếng Anh). PHP. ngày 20 tháng 10 năm 2026. Lưu trữ bản gốc ngày 20 tháng 10 năm 2026. Truy cập ngày 21 tháng 10 năm 2026.
  5. ↑ "PHP: News Archive – 21 Oct 2026" (bằng tiếng Anh). PHP. ngày 21 tháng 10 năm 2026. Lưu trữ bản gốc ngày 20 tháng 10 năm 2026. Truy cập ngày 21 tháng 10 năm 2026.
  6. ↑ Volz, Dustin (ngày 8 tháng 9 năm 2026). "A Hacking Tool Built With A.I. Can Breach Phones Without a Click". The New York Times. Truy cập ngày 21 tháng 10 năm 2026.

Liên kết ngoài

[sửa | sửa mã nguồn]
Lấy từ “https://vi.wikipedia.org/w/index.php?title=PHP2Shell&oldid=75665947”