PHP phát hành bản cập nhật bảo mật Windows thứ hai trong 5 ngày để vá lỗi thực thi mã từ xa

Dự án PHP vừa chính thức phát hành các bản build mới cho các phiên bản PHP từ 8.2 đến 8.5 trên nền tảng Windows. Động thái này nhằm khắc phục lỗ hổng bảo mật CVE-2026-111497 nằm trong thư viện nén Brotli được tích hợp sẵn trong các gói cài đặt.

Lỗ hổng này cho phép kẻ tấn công thực hiện hành vi làm hỏng bộ nhớ (memory corruption), từ đó có khả năng dẫn đến việc thực thi mã từ xa (RCE). Theo phân tích, lỗ hổng có thể bị khai thác thông qua extension cURL khi thực hiện giải nén tự động các phản hồi HTTP. Mặc dù cURL mặc định không kích hoạt tính năng này, nhưng nhiều thư viện client HTTP và ứng dụng bên thứ ba thường tự động bật nó lên.

Các phiên bản được cập nhật bao gồm: 8.5.12-1, 8.4.27-1, 8.3.36-1 và 8.2.35-1. Đáng chú ý, đây là đợt cập nhật thứ hai chỉ trong vòng 5 ngày, sau khi nhóm phát triển đã tung ra bản vá cho lỗ hổng PHP2Shell vào ngày 21/10. Các bản build mới này vẫn giữ nguyên các bản vá trước đó và đã nâng cấp thư viện Brotli lên phiên bản 1.2.1.

Khuyến nghị cho người dùng:

• Người dùng Windows nên tải và cài đặt các bản build mới nhất từ trang chủ của PHP.
• Vì số hiệu phiên bản PHP không thay đổi, người dùng cần kiểm tra hậu tố -1 trong tên tệp (ví dụ: php-8.5.12-1-nts-Win32-vs17-x64.zip) hoặc đối chiếu mã SHA-256 trên trang download để xác thực bản build đã vá lỗi.
• Đối với các hệ thống chưa thể cập nhật ngay, các chuyên gia khuyến cáo nên vô hiệu hóa tính năng tự động giải nén Brotli trong các client HTTP. Cụ thể, trong PHP, cần tránh thiết lập CURLOPT_ENCODING. Nếu sử dụng thư viện Guzzle, hãy đặt tùy chọn decode_content thành false.

Lỗ hổng này được đánh giá ở mức Critical (9.2/10) theo thang điểm CVSS 4.0. Hiện tại, chưa có báo cáo về việc lỗ hổng này bị khai thác trong thực tế, tuy nhiên việc cập nhật sớm là cần thiết để đảm bảo an toàn cho hạ tầng ứng dụng.

Nguồn tham khảo: The Hacker News