Việc cần làm lúc này: rà lại toàn bộ máy chủ chạy PHP trong hệ thống của đội bạn và xác định cái nào đã vá hai lỗ hổng CVE-2026-109618 và CVE-2026-109619, tiêu chí coi là xong là mỗi máy chủ đều có trạng thái vá rõ ràng kèm người chịu trách nhiệm và hạn chót. Nghe thì đơn giản, nhưng khi đối chiếu với những gì xảy ra trong 10 ngày cuối tháng 10, danh sách đó dài hơn nhiều người tưởng.
PHP2Shell đặt 22,6 triệu máy chủ vào tầm ngắm
PHP2Shell là tên gọi chung của hai lỗ hổng nghiêm trọng trong ngôn ngữ lập trình PHP, được ghi nhận là CVE-2026-109618 và CVE-2026-109619. Thông tin rò rỉ ngày 21/10. Rất nhanh sau đó, hai lỗ hổng trở thành mục tiêu của các chiến dịch khai thác. Điều khiến chúng nguy hiểm nằm ở chỗ kẻ tấn công có thể thực thi mã từ xa trên máy chủ PHP mà không cần xác thực, từ đó đánh cắp dữ liệu và đọc thông tin nhạy cảm.
Quy mô mới là phần đáng lo. PHP vận hành khoảng 70% website trên Internet, và theo Palo Alto Networks, 22,6 triệu máy chủ có nguy cơ bị ảnh hưởng. Đến 26/10, Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) đưa cả hai vào danh sách điểm yếu bị khai thác thực tế. Nhiều chuyên gia đánh giá đây là vấn đề bảo mật nghiêm trọng nhất mà PHP phải đối mặt trong hơn một thập kỷ.
Điểm đáng chú ý với người làm công nghệ: hai lỗ hổng được phát hiện với sự hỗ trợ của AI. Công nghệ này đang đủ khả năng tìm ra những điểm yếu chưa ai biết, kể cả trong hệ thống phần mềm phức tạp. Với đội an ninh Việt, đây là tín hiệu để đưa công cụ quét bảo mật có AI vào quy trình thường kỳ thay vì chờ bản vá từ bên ngoài.
GMO huy động 200 chuyên gia và từ chối trả 50 triệu USD
Công ty Internet Nhật Bản GMO ngày 25/10 thông báo bị hacker tấn công, với nguy cơ ảnh hưởng 26.739 máy chủ. Sự việc được phát hiện từ 19/10. Đến 21/10, hacker đòi 50 triệu USD tiền chuộc và đe dọa công khai dữ liệu khách hàng, gây rủi ro cho khoảng 20 doanh nghiệp dùng dịch vụ của GMO. Thay vì thương lượng, CEO Masatoshi Kumagai từ chối trả tiền, yêu cầu người dùng quét mã độc, sao lưu dữ liệu và ngắt kết nối máy tính để hạn chế thiệt hại. Một số khách hàng trong lĩnh vực giao dịch ngoại hối ghi nhận thiệt hại hàng chục nghìn USD.
GMO huy động khoảng 200 chuyên gia an ninh mạng, phối hợp với các công ty bảo mật và AI để truy tìm thủ phạm. Ngày 29/10, CEO cho biết đã có manh mối đầu tiên xác định nhóm đứng sau. Ông cũng cảnh báo AI mã nguồn mở đang giúp người thiếu chuyên môn dễ dàng phát triển công cụ khai thác lỗ hổng.
Với đội ngũ nhỏ ở Việt Nam, bài toán đối chiếu đặt ra rất cụ thể: nếu sự cố xảy ra, ai gọi, ai quyết định ngắt kết nối, ai liên hệ khách hàng, và mất bao lâu để có phương án. Con số 200 chuyên gia của GMO cho thấy quy mô phản ứng cần thiết. Phần lớn doanh nghiệp Việt không có nguồn lực đó, nên chuẩn bị trước là cách duy nhất để rút ngắn thời gian phản ứng.
Railway lộ khóa API, LiteLLM tiếp bước trong cùng tuần
Ngày 20/10, Railway, nền tảng triển khai ứng dụng trên đám mây, ghi nhận tin tặc truy cập trái phép vào một phần hệ thống nội bộ, có nguy cơ làm lộ khóa API và thông tin xác thực của khách hàng. Sang ngày 21/10, đến lượt LiteLLM, công cụ trung gian phổ biến để kết nối nhiều mô hình AI, gặp sự cố. Với các đội đang dùng LiteLLM làm lớp định tuyến giữa ứng dụng và nhiều nhà cung cấp mô hình, việc khóa API bị lộ đồng nghĩa chi phí gọi mô hình có thể bị đẩy lên và dữ liệu gửi đi có thể bị đọc.
Chuỗi sự kiện trong 10 ngày cuối tháng 10 cho thấy hai rủi ro thường đi cùng nhau: lỗ hổng trong hạ tầng chạy web, và lỗ hổng trong lớp công cụ AI mà doanh nghiệp mới đưa vào sử dụng. Guardian và Business Insider gọi đây là “tháng 10 đen tối”. Nhiều chuyên gia cảnh báo mọi thứ chỉ mới bắt đầu.
Việc đội Việt nên chạy thử ngay tuần này
Cách làm cũ là chờ bản vá, đọc thông báo, rồi mở từng máy chủ kiểm tra bằng tay. Cách làm đối chiếu là để AI quét và lập bảng trạng thái, sau đó con người xác nhận từng dòng. Việc cụ thể: đưa danh sách máy chủ PHP nội bộ vào một công cụ quét có AI hỗ trợ, yêu cầu nó đối chiếu phiên bản với hai mã CVE-2026-109618 và CVE-2026-109619, xuất ra bảng gồm tên máy chủ, phiên bản PHP, trạng thái vá, mức độ phơi nhiễm. Sau đó kiểm tra chéo bằng tay ít nhất hai máy chủ để chắc công cụ không bỏ sót.
Tiêu chí đối chiếu có số đo: thời gian từ lúc bắt đầu đến lúc có bảng đầy đủ, và tỷ lệ máy chủ được xác nhận đúng trạng thái. Một buổi sáng là đủ để biết mình đang đứng ở đâu trong câu chuyện 22,6 triệu máy chủ kia. Phần thứ hai thường bị bỏ: kiểm tra khóa API và thông tin xác thực của các công cụ AI đang dùng, đổi khóa định kỳ, giới hạn quyền, ghi lại ai được cấp quyền gì. GMO mất vài ngày mới có manh mối đầu tiên dù có 200 chuyên gia. Đội nhỏ mà chuẩn bị sẵn kịch bản thì ít nhất không mất thêm thời gian đoán xem nên bắt đầu từ đâu. Tôi vẫn chưa chắc công cụ quét tự động bắt được hết các bản PHP biên dịch tùy chỉnh, nên bước kiểm tra tay đừng bỏ qua. Mở terminal ngay bây giờ và chạy lệnh kiểm tra phiên bản PHP trên máy chủ đầu tiên.
Đọc thêm: Quizlet AI tạo thẻ ghi nhớ ôn thi cho sinh viên y khoa: thử 3 vòng
Câu hỏi thường gặp
PHP2Shell là gì và ảnh hưởng bao nhiêu máy chủ?
PHP2Shell là tên gọi chung của hai lỗ hổng CVE-2026-109618 và CVE-2026-109619 trong ngôn ngữ PHP, cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực. Theo Palo Alto Networks, khoảng 22,6 triệu máy chủ có nguy cơ bị ảnh hưởng, và đến 26/10 CISA đã đưa cả hai vào danh sách điểm yếu bị khai thác thực tế.
GMO có trả tiền chuộc 50 triệu USD cho hacker không?
Không. CEO Masatoshi Kumagai từ chối trả 50 triệu USD, thay vào đó yêu cầu người dùng quét mã độc, sao lưu dữ liệu và ngắt kết nối máy tính. Công ty huy động khoảng 200 chuyên gia an ninh mạng phối hợp với các công ty bảo mật và AI, đến ngày 29/10 đã có manh mối đầu tiên xác định nhóm đứng sau.
Đội nhỏ ở Việt Nam nên kiểm tra gì trước khi chờ bản vá?
Đưa danh sách máy chủ PHP nội bộ vào công cụ quét có AI hỗ trợ, đối chiếu phiên bản với hai mã CVE-2026-109618 và CVE-2026-109619, xuất bảng gồm tên máy chủ, phiên bản PHP, trạng thái vá, mức độ phơi nhiễm. Sau đó kiểm tra chéo bằng tay ít nhất hai máy chủ, đồng thời rà lại khóa API và thông tin xác thực của các công cụ AI đang dùng như LiteLLM.
