SlowMist: PHP công bố hai lỗ hổng thực thi mã từ xa nghiêm trọng, điểm CVSS v4.0 đều là 9.2

Tin tức BlockBeats, ngày 21 tháng 10, SlowMist cho biết PHP đã phát hành thông báo bảo mật vào ngày 20 tháng 10, tiết lộ hai lỗ hổng nghiêm trọng có thể dẫn đến thực thi mã từ xa (RCE), với mã số lần lượt là CVE-2026-109618 và CVE-2026-109619, điểm CVSS v4.0 đều là 9.2. Hiện tại bản vá chính thức vẫn chưa được phát hành, chi tiết kỹ thuật của lỗ hổng, điều kiện khai thác và các phiên bản bị ảnh hưởng vẫn chưa được xác nhận chính thức.

Báo cáo từ bên thứ ba cho biết PHP 5 và các phiên bản tiếp theo có thể bị ảnh hưởng, nhưng phạm vi này chưa được xác minh. Dự kiến chính thức sẽ phát hành bản cập nhật bảo mật vào 14:00 UTC ngày 21 tháng 10 (22:00 giờ Bắc Kinh).

SlowMist khuyến nghị các nhóm liên quan kiểm tra phiên bản PHP trên máy chủ và hệ thống nghiệp vụ, ưu tiên rà soát các dịch vụ hướng ra internet, và cập nhật càng sớm càng tốt sau khi bản vá chính thức được phát hành. Nếu tạm thời không thể khắc phục, nên hạn chế quyền truy cập vào các dịch vụ PHP bị lộ, cách ly khi cần thiết.