Cập nhật bảo mật PHP: vá trước, rồi kiểm tra bí mật và quyền truy cập

Ngày 21 tháng 10 năm 2026, PHP phát hành 8.5.12, 8.4.27, 8.3.36 và 8.2.35 để sửa CVE-2026-109618 và CVE-2026-109619, các lỗ hổng nghiêm trọng có thể cho phép thực thi mã từ xa không cần xác thực. Thông báo chính thức xác định các cài đặt xử lý yêu cầu web có rủi ro, gồm PHP-FPM và Apache mod_php. Cập nhật là cách sửa hoàn chỉnh; biện pháp giảm thiểu tạm thời không tương đương.

Cài đặt có lỗ hổng không phải bằng chứng đã bị xâm nhập. Xem việc vá, điều tra và khôi phục thông tin xác thực là các việc liên quan, quyết định dựa trên môi trường và bằng chứng.

Xác nhận môi trường thực sự xử lý yêu cầu

Kiểm kê website công khai, dịch vụ nội bộ, container và tài khoản hosting chạy PHP. Xác nhận phiên bản và tình trạng vá của môi trường xử lý yêu cầu web; phiên bản dòng lệnh có thể thuộc cài đặt khác.

Với hosting có quản lý, yêu cầu đơn vị vận hành xác nhận gói đã áp dụng, dịch vụ liên quan và việc khởi động lại hay triển khai. Nhà phân phối có thể chuyển bản sửa về phiên bản cũ, nên lấy xác nhận vá thay vì chỉ xem số phiên bản gốc. Cùng đơn vị vận hành kiểm tra phạm vi theo khuyến cáo của nhóm PHP. Không công khai trang chẩn đoán làm lộ cấu hình máy chủ.

Giới hạn phơi nhiễm và khôi phục môi trường đáng tin

Phối hợp cập nhật sớm với hosting hoặc đội vận hành. Hạn chế phơi nhiễm hay cô lập hệ thống nếu đánh giá sự cố yêu cầu, đồng thời bảo toàn bằng chứng cần thiết. Đừng trì hoãn ngăn chặn khẩn cấp chỉ để thu thập xong nhật ký.

Kiểm tra khoảng thời gian phơi nhiễm, nhật ký web và hệ thống, tệp hoặc tiến trình bất thường và sự kiện kiểm toán của nhà cung cấp liên quan. Không có cảnh báo hoặc nhật ký trông bình thường không chứng minh máy chủ chưa bị đụng tới.

Nếu đã xác nhận hoặc có nghi ngờ hợp lý, làm theo quy trình sự cố để dựng lại hay khôi phục từ nguồn đáng tin. Bản vá không loại bỏ cơ chế bám trụ của kẻ tấn công. Không tạo, nhận hoặc cài bí mật thay thế trên máy chủ hay thiết bị không đáng tin.

Đánh giá thông tin xác thực trước khi luân chuyển

Liệt kê những gì tiến trình bị ảnh hưởng có thể truy cập: cấu hình ứng dụng, biến môi trường, token triển khai, thông tin cơ sở dữ liệu và khóa API. Xác định quyền, phạm vi và khả năng bị lộ. Chỉ riêng thông báo không cho thấy mọi thông tin xác thực của tổ chức đều đã rò rỉ.

Với thông tin có thể bị lộ, phối hợp thay thế và thu hồi tại nhà cung cấp phát hành từ thiết bị quản trị đáng tin. Cài giá trị thay thế trong môi trường đã dựng lại đáng tin và xác minh tích hợp hợp lệ. Chọn thứ tự theo lạm dụng đang diễn ra, khả năng nhà cung cấp và phụ thuộc dịch vụ. Đừng hứa không gián đoạn hoặc giữ khóa đã lộ hoạt động vô thời hạn vì tiện.

Kiểm tra phiên và quyền khôi phục khi phù hợp, ghi người chịu trách nhiệm từng thay đổi. Không đưa bí mật nguyên văn vào phiếu hay nhật ký sự cố. OWASP

Đóng quyền khẩn cấp khi xong việc

Cấp tài khoản riêng, quyền hẹp và giờ kết thúc thống nhất cho người ứng phó. Sau khôi phục, kiểm tra vai trò tạm thời, phiên, quyền triển khai và liên kết bàn giao. Xóa quyền còn giữ mà không cần nữa, xác nhận kết quả tại dịch vụ tương ứng thay vì chỉ dựa vào lời nhắc lịch.

Phân biệt ba biện pháp khác nhau

Chỉ bàn giao tạm sau khi khôi phục niềm tin

Nếu quy trình cho phép, tạo ghi chú có mật khẩu từ hệ thống đáng tin với thông tin tối thiểu cho người nhận đã xác minh. Gửi mật khẩu riêng và dùng hết hạn hoặc giới hạn truy cập khi gói hỗ trợ. Không đưa cụm từ khôi phục ví hay khóa riêng vào nội dung.

LOCK.PUB là công cụ bàn giao có giới hạn: không vá PHP, sửa thiết bị nhiễm, thu hồi khóa nhà cung cấp hay lấy lại bản sao. Nó không thay thế trình quản lý bí mật, kiểm soát danh tính hoặc ứng phó sự cố.

Câu hỏi thường gặp

Cài cập nhật PHP là xong điều tra sao?

Không. Nó sửa lỗ hổng; bằng chứng và phạm vi phơi nhiễm quyết định điều tra, khôi phục và xử lý thông tin xác thực còn cần thiết.

Ghi chú hết hạn có tắt khóa API bên trong không?

Không. Thu hồi hoặc thay khóa tại nhà cung cấp. Thông tin xác thực đã sao chép độc lập với liên kết chuyển nó.

Liên quan: chia sẻ khóa API với giới hạn rõ ràng.