Trung tâm An ninh mạng Quốc gia Anh (NCSC) hiện đang thúc giục các tổ chức tại quốc gia này triển khai ngay lập tức các biện pháp giảm thiểu rủi ro liên quan đến sự cố bảo mật nghiêm trọng ảnh hưởng đến ngôn ngữ PHP, cụ thể là các mã lỗi CVE-2026-109618 và CVE-2026-109619.
Theo thông báo từ đội ngũ phát triển PHP, một bản cập nhật bảo mật đã chính thức được phát hành để khắc phục lỗ hổng nguy hiểm này. Nếu không được xử lý, lỗ hổng có thể cho phép các tác nhân đe dọa thực thi lệnh trái phép trên bất kỳ máy chủ web nào đang vận hành PHP.
PHP (viết tắt của PHP Hypertext Preprocessor) là một ngôn ngữ kịch bản phía máy chủ đóng vai trò then chốt trong phát triển web. Ngôn ngữ này chạy trực tiếp trên máy chủ để tạo ra nội dung trang web động, thực hiện tương tác với cơ sở dữ liệu và xử lý các logic ứng dụng phía sau trước khi trả về kết quả HTML hoàn chỉnh cho trình duyệt của người dùng. Ngoài ra, PHP còn được tích hợp sâu rộng trong nhiều sản phẩm và dịch vụ công nghệ khác.
Về mặt kỹ thuật, vấn đề bảo mật này cho phép kẻ tấn công kích hoạt tình trạng cạn kiệt bộ nhớ (out-of-memory - OOM), dẫn đến hiện tượng hỏng bộ nhớ trong hệ thống PHP. Trong những bối cảnh cụ thể, lỗi hỏng bộ nhớ này có thể bị khai thác để thực hiện các cuộc tấn công thực thi mã từ xa (RCE) mà không cần qua bước xác thực danh tính. Hiện tại, các chuyên gia đã hoàn tất việc vá lỗi cho các lỗ hổng nói trên.
NCSC cho biết họ sẽ duy trì việc giám sát chặt chẽ mọi tác động tiềm ẩn đối với các tổ chức tại Anh. Cơ quan này nhấn mạnh rằng tất cả các đơn vị đang sử dụng bất kỳ phiên bản PHP nào đều thuộc diện bị ảnh hưởng và cần nhanh chóng cập nhật lên phiên bản đã được vá lỗi. Đối với những tổ chức vẫn đang vận hành các phiên bản PHP đời cũ, NCSC khuyến cáo mạnh mẽ việc chuyển đổi sang các phiên bản đang được nhà phát triển hỗ trợ đầy đủ.
Nhằm đảm bảo an toàn thông tin, NCSC đề xuất các tổ chức tuân thủ những chỉ dẫn về thực hành tốt nhất từ phía nhà cung cấp. Đồng thời, các đơn vị cần ưu tiên thực hiện ngay các hành động khắc phục để bảo vệ hạ tầng mạng trước các nguy cơ khai thác lỗ hổng.
