PHP cảnh báo lỗ hổng RCE mới chưa có bản vá, chỉ hai ngày sau sự cố PHP2Shell

Chỉ hai ngày sau khi tung ra các bản vá khẩn cấp cho lỗ hổng nghiêm trọng PHP2Shell, dự án PHP vừa tiếp tục đưa ra cảnh báo về một phương thức tấn công mới cho phép kẻ gian thực thi mã từ xa (RCE) trên máy chủ web.

Lỗ hổng mới này được định danh là CVE-2026-115560. Theo đánh giá từ đội ngũ phát triển PHP, rủi ro từ lỗ hổng này được coi là thấp vì nó chỉ ảnh hưởng đến các ứng dụng web có cấu hình rất đặc thù. Do đó, dự án sẽ không phát hành bản vá khẩn cấp mà sẽ xử lý trong chu kỳ cập nhật định kỳ sắp tới.

Chi tiết về lỗ hổng và cách phòng ngừa

Để khai thác được lỗ hổng này, ứng dụng web phải đáp ứng đồng thời các điều kiện cấu hình hiếm gặp sau:

• Thiết lập session.serialize_handler thành php_binary hoặc php_serialize trong cấu hình.
• Sử dụng hàm ini_set() để thay đổi tùy chọn này thành php trong quá trình chạy.
• Thực hiện thay đổi trên trước khi gọi hàm session_start().
• Tính năng session upload progress phải được kích hoạt.

PHP khuyến nghị các quản trị viên nên tạm thời vô hiệu hóa tính năng này bằng cách thiết lập session.upload_progress.enabled=0 cho đến khi bản vá chính thức được phát hành. Đây cũng là biện pháp giảm thiểu tương tự đã được khuyến cáo cho lỗ hổng CVE-2026-109619 trước đó. Nếu bạn đã áp dụng cấu hình này từ đợt cảnh báo ngày 21/10, bạn không cần thực hiện thêm thao tác nào.

Tình hình khai thác thực tế

Hiện tại, chưa có báo cáo nào về việc CVE-2026-115560 bị khai thác trong thực tế. Trong khi đó, các cuộc tấn công nhắm vào hai lỗ hổng PHP2Shell (CVE-2026-109618 và CVE-2026-109619) đang có xu hướng gia tăng mạnh mẽ.

Các nhà nghiên cứu từ Sophos và Arctic Wolf ghi nhận những nỗ lực từ phía hacker nhằm cài đặt các biến thể của botnet Mirai thông qua các lỗ hổng PHP2Shell. Tuy nhiên, các chuyên gia bảo mật cho biết việc xây dựng một exploit ổn định cho các lỗ hổng này khó khăn hơn dự kiến, dẫn đến việc nhiều nỗ lực quét và thăm dò hệ thống vẫn chưa đạt được mục đích thực thi mã thành công.

Các quản trị viên được khuyến cáo nên duy trì cảnh giác và theo dõi các bản cập nhật định kỳ từ PHP để nhận được bản vá chính thức cho lỗ hổng mới này.

Nguồn tham khảo: The Hacker News