# PHP2Shell: chủ cửa hàng online cần làm gì ngay bây giờ

> Ngày 21 tháng 10 năm 2026, dự án PHP đã vá hai lỗ hổng nghiêm trọng là CVE-2026-109618 và CVE-2026-109619, được gọi chung là PHP2Shell, cho phép kẻ tấn công chạy mã trên máy chủ web mà không cần đăng nhập. Mọi cửa hàng tự lưu trữ chạy trên PHP, như WooCommerce, Magento, PrestaShop hoặc OpenCart, cần dùng PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 hoặc gói đã vá từ nhà cung cấp hosting. CISA của Mỹ đã đưa cả hai lỗ hổng vào danh mục lỗ hổng bị khai thác ngày 26 tháng 10 năm 2026.

Canonical: https://tellnod.com/vi/guides/php-vulnerability-online-store-checklist  
Last updated: 2026-10-30  
Author: Tellnod team

## Việc cần làm hôm nay

1. **Kiểm tra cửa hàng đang dùng phiên bản PHP nào.** Xem trong bảng điều khiển hosting, hoặc trong WordPress vào Công cụ, Tình trạng website, Thông tin, Máy chủ. Ghi lại phiên bản và xem PHP có do nhà cung cấp hosting quản lý không.
2. **Cập nhật PHP hoặc nhờ hosting xác nhận đã vá.** Chuyển lên PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35, hoặc hỏi nhà cung cấp hosting bằng văn bản xem máy chủ đã có bản sửa ngày 21 tháng 10 năm 2026 cho CVE-2026-109618 và CVE-2026-109619 chưa.
3. **Sao lưu trước và sau khi cập nhật.** Tải bản sao lưu đầy đủ của tệp và cơ sở dữ liệu, và giữ một bản ngoài máy chủ, để có thể khôi phục phiên bản sạch nếu có vấn đề.
4. **Cập nhật phần mềm cửa hàng và mọi plugin.** Cài các bản cập nhật còn chờ cho WordPress, WooCommerce hoặc nền tảng cửa hàng, giao diện, và từng plugin hoặc module, rồi gỡ những cái không còn dùng.
5. **Kiểm tra tài khoản quản trị và đổi mật khẩu.** Xóa các tài khoản quản trị bạn không nhận ra, sau đó đổi mật khẩu trang quản trị, hosting, cơ sở dữ liệu, cùng mật khẩu và khóa API của dịch vụ email lưu trong cửa hàng.

## Chuyện gì đã xảy ra, nói ngắn gọn

PHP là ngôn ngữ lập trình mà nhiều cửa hàng online tự lưu trữ đang chạy trên đó. Ngày 21 tháng 10 năm 2026, dự án PHP phát hành các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35 để sửa hai lỗ hổng nghiêm trọng là CVE-2026-109618 và CVE-2026-109619 [S1]. Các nhà nghiên cứu bảo mật gọi cặp lỗ hổng này là PHP2Shell [S5][S6]. Cả hai đều có điểm 9,2 trên 10 [S5].

Lỗi nằm trong chính PHP, không phải trong một plugin cụ thể. Theo dự án PHP, mọi bản cài PHP xử lý yêu cầu web đều bị ảnh hưởng, và ở một số cấu hình máy chủ, yêu cầu từ người chưa đăng nhập có thể kích hoạt cuộc tấn công trước khi mã của cửa hàng kịp chạy [S1]. Vì vậy, đăng nhập quản trị, plugin bảo mật hay mật khẩu mạnh tự chúng không chặn được. Dự án PHP cho biết không có cách tạm thời nào khắc phục hoàn toàn và cập nhật là lựa chọn an toàn duy nhất [S1].

Các nỗ lực tấn công bắt đầu từ sớm. Datadog cho biết AWS đã ghi nhận các nỗ lực khai thác từ ngày 17 tháng 10 năm 2026, trước khi bản sửa được công bố [S6]. Ngày 26 tháng 10 năm 2026, Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) đã đưa cả hai CVE vào danh mục Known Exploited Vulnerabilities, nơi liệt kê các lỗ hổng có bằng chứng bị khai thác thực tế [S3][S4].

> Một vấn đề riêng, CVE-2026-115560, được dự án PHP công bố ngày 23 tháng 10 năm 2026. Lỗ hổng này không thuộc PHP2Shell và chưa được sửa trong các bản phát hành ngày 21 tháng 10. Nó chỉ ảnh hưởng đến ứng dụng dùng tổ hợp cài đặt session bất thường; bản sửa dự kiến có trong bản phát hành định kỳ tiếp theo, và trong thời gian chờ, cài đặt được khuyến nghị là `session.upload_progress.enabled = 0` [S2]. Bài viết này phản ánh tình hình tính đến ngày 30 tháng 10 năm 2026.

## Cửa hàng của tôi có bị ảnh hưởng không?

Nếu bạn tự lưu trữ cửa hàng, rất có thể cửa hàng chạy trên PHP. WordPress là một ứng dụng PHP [S7], nên cửa hàng WooCommerce chạy trên PHP, cũng như Magento (Adobe Commerce), PrestaShop và OpenCart. Blog, trang khuyến mãi hay khu vực khách hàng làm bằng WordPress cũng tính, kể cả khi cửa hàng nằm ở nơi khác.

| Cách bạn vận hành | Có dùng PHP? | Ai cập nhật PHP |
| --- | --- | --- |
| WooCommerce trên WordPress | Có | Bạn hoặc nhà cung cấp hosting, tùy gói dịch vụ |
| Magento, PrestaShop hoặc OpenCart trên máy chủ riêng | Có | Bạn, hoặc agency hay lập trình viên quản lý máy chủ |
| WordPress managed hoặc hosting cửa hàng managed | Có | Thường là nhà cung cấp hosting; hãy yêu cầu xác nhận đã vá |
| Nền tảng lưu trữ hoàn toàn như Shopify | Bạn không tự chạy PHP | Nền tảng tự bảo trì máy chủ của họ |

Để xem phiên bản PHP, hãy mở bảng điều khiển hosting, thường nằm trong menu cài đặt PHP hoặc phiên bản PHP. Trong WordPress, vào Công cụ, rồi Tình trạng website, rồi thẻ Thông tin, và mở mục Máy chủ. Các phiên bản đã sửa là 8.5.12, 8.4.27, 8.3.36 và 8.2.35 hoặc mới hơn trong từng nhánh [S1].

Số phiên bản không phải lúc nào cũng nói hết. Các bản phân phối Linux và nhà cung cấp hosting đã nhận bản vá trước, và có thể đưa bản sửa vào gói của họ mà không đổi số phiên bản [S1][S6]. Nếu không chắc, hãy hỏi thẳng nhà cung cấp hosting xem máy chủ đã có bản sửa cho CVE-2026-109618 và CVE-2026-109619 chưa.

Cửa hàng còn dùng PHP 8.1 hoặc cũ hơn sẽ khó khăn hơn. Dự án PHP không còn cập nhật các phiên bản này; một số nhà cung cấp có bản sửa backport, và dự án PHP hướng người dùng đến họ hoặc đến việc nâng cấp [S1]. Ngoài ra, PHP 8.2 sẽ hết hỗ trợ vào ngày 31 tháng 12 năm 2026 [S1].

## Việc cần làm hôm nay

Danh sách đánh số ở trên là bản tóm tắt. Một vài chi tiết sau giúp từng bước an toàn hơn.

### Nếu bạn tự quản lý máy chủ

Cập nhật PHP qua gói hệ thống hoặc bảng điều khiển, rồi khởi động lại PHP và máy chủ web để mọi worker dùng phiên bản đã sửa. CISA khuyến nghị vá ngay các hệ thống kết nối internet, và nếu một hệ thống không thể vá sớm, tạm thời đưa nó offline hoặc đặt tường lửa ứng dụng web phía trước [S3]. Dự án PHP có liệt kê một số cài đặt tạm thời, nhưng cảnh báo rằng chúng không làm bản cài trở nên an toàn [S1].

### Nếu hosting hoặc agency quản lý

Gửi một yêu cầu ngắn bằng văn bản: “Vui lòng xác nhận máy chủ của chúng tôi đã có bản sửa PHP cho CVE-2026-109618 và CVE-2026-109619 phát hành ngày 21 tháng 10 năm 2026, và cho biết phiên bản hoặc gói PHP chúng tôi đang dùng.” Lưu lại câu trả lời.

### Sao lưu trước khi thay đổi bất cứ điều gì

Sao lưu đầy đủ tệp và cơ sở dữ liệu, rồi lưu ở nơi khác ngoài máy chủ. Nếu cửa hàng đã bị xâm nhập trước khi vá, bạn có thể phải khôi phục từ một bản sao lưu sạch cũ hơn, nên đừng ghi đè các bản sao lưu cũ vội.

### Cập nhật plugin và kiểm tra tài khoản quản trị

Cập nhật PHP sẽ bịt lỗ hổng này, nhưng phần còn lại của cửa hàng cũng cần được chăm sóc. Cập nhật WordPress, WooCommerce hoặc nền tảng của bạn, giao diện và mọi plugin. Trong danh sách người dùng, tìm các tài khoản quản trị bạn không tạo. Sau đó đổi mật khẩu và tạo lại các khóa API và mật khẩu SMTP lưu trong cửa hàng, như của cổng thanh toán, vận chuyển và email, vì bất kỳ ai từng truy cập máy chủ đều có thể đã đọc được chúng.

## Bảo vệ danh sách khách hàng và uy tín gửi email

Cơ sở dữ liệu cửa hàng chứa nhiều hơn đơn hàng. Thường có tên, email, địa chỉ giao hàng và lịch sử mua của từng khách, cùng danh sách người đăng ký bản tin. Kẻ tấn công chạy được mã trên máy chủ thường cũng đọc được cơ sở dữ liệu này, và có thể dùng máy chủ để gửi email dưới tên bạn.

### Dấu hiệu có điều bất thường

- Thư báo lỗi gửi hoặc thư trả lời cho những email bạn chưa từng gửi.
- Cảnh báo từ hosting về việc gửi spam hoặc tải máy chủ bất thường.
- Tài khoản quản trị, plugin hoặc tệp bạn không thêm, hoặc trang thanh toán bị thay đổi.
- Báo cáo DMARC cho thấy máy chủ bạn không dùng đang gửi bằng tên miền của bạn.
- Số khiếu nại spam tăng đột ngột, hoặc tên miền hay IP máy chủ bị đưa vào danh sách chặn.

[Uy tín người gửi](https://tellnod.com/glossary#sender-reputation) của tên miền cần thời gian để xây dựng và có thể giảm nhanh khi spam được gửi dưới tên bạn. Bản ghi SPF, DKIM và DMARC cho hộp thư biết máy chủ nào được gửi thay tên miền của bạn, và báo cáo DMARC cho thấy ai đang cố mạo danh; [bài giải thích SPF, DKIM và DMARC](https://tellnod.com/vi/guides/spf-dkim-dmarc-explained) nói về từng bản ghi, còn [hướng dẫn thiết lập DMARC](https://tellnod.com/vi/guides/how-to-set-up-dmarc) chỉ cách đọc báo cáo. Nếu máy chủ cửa hàng vốn không dùng để gửi email marketing, đừng đưa nó vào bản ghi SPF; như vậy sẽ hạn chế những gì một máy chủ bị xâm nhập có thể làm với tên miền của bạn.

### Nếu dữ liệu khách hàng có thể đã bị lộ

Nghĩa vụ pháp lý sau sự cố rò rỉ dữ liệu khác nhau theo từng quốc gia. Nhiều luật bảo vệ dữ liệu yêu cầu thông báo cho cơ quan quản lý, khách hàng bị ảnh hưởng, hoặc cả hai trong một thời hạn nhất định, vì vậy hãy kiểm tra quy định ở từng thị trường bạn bán hàng, hoặc hỏi luật sư, trước khi liên hệ khách hàng. [Hướng dẫn quy định email marketing](https://tellnod.com/vi/guides/email-marketing-consent-laws) của chúng tôi tổng hợp quy định về sự đồng ý theo thị trường; quy định thông báo rò rỉ là chuyện riêng và tùy luật địa phương.

Khi liên hệ khách hàng, hãy viết rõ ràng: chuyện gì đã xảy ra, dữ liệu nào liên quan, bạn đã làm gì và khách cần lưu ý điều gì. Email lừa đảo giả danh cửa hàng thường xuất hiện sau đó, nên hãy nói rõ bạn sẽ không bao giờ hỏi mật khẩu hay số thẻ qua email. Với một thương hiệu thời trang như Ninefold, thông báo này sẽ được gửi từ địa chỉ quen thuộc, không kèm ưu đãi giảm giá, để không trông giống email quảng cáo.

## Giảm rủi ro cho những lần sau

PHP2Shell sẽ không phải bản cập nhật khẩn cấp cuối cùng. Cửa hàng càng dễ cập nhật thì càng dễ bảo vệ.

- **Ít plugin hơn.** Mỗi plugin hay module là mã chạy trên máy chủ của bạn và cần cập nhật. Gỡ những cái không dùng, và khi có thể, thay nhiều plugin nhỏ bằng một plugin được bảo trì tốt.
- **Nhánh PHP còn được hỗ trợ.** Lên kế hoạch rời PHP 8.2 trước khi hết hỗ trợ vào ngày 31 tháng 12 năm 2026, và rời ngay các phiên bản cũ hơn [S1].
- **Hosting hoặc dịch vụ managed.** Hosting managed, hoặc dịch vụ lưu trữ cho thanh toán, tìm kiếm hay email, chuyển việc vá lỗi sang nhà cung cấp chuyên làm việc đó. Hãy hỏi họ lần này mất bao lâu để vá.
- **Cập nhật tự động và sao lưu ngoài máy chủ.** Bật cập nhật nhỏ tự động nếu nền tảng hỗ trợ, và lưu bản sao lưu định kỳ ngoài máy chủ.
- **Người phụ trách rõ ràng.** Quyết định ai theo dõi tin bảo mật cho cửa hàng: bạn, lập trình viên hay nhà cung cấp hosting.

## Tellnod nằm ở đâu trong bức tranh này

Tellnod là một [MCP connector](https://tellnod.com/glossary#mcp-connector) để viết, xem trước và gửi email marketing từ Claude hoặc ChatGPT. Tellnod chạy như một dịch vụ lưu trữ trên hạ tầng của chính Tellnod, không chạy trên máy chủ cửa hàng của bạn, nên dùng nó thay cho plugin email marketing nghĩa là bớt một plugin cần cập nhật trên máy chủ và bớt một bộ thông tin đăng nhập gửi email lưu trong cơ sở dữ liệu cửa hàng.

Điều đó giảm bớt những gì nằm trên máy chủ của bạn, nhưng không làm cửa hàng trở nên an toàn. Bạn vẫn cần vá PHP và phần mềm cửa hàng, và danh sách khách hàng khi đó cũng được lưu ở Tellnod, nên việc hỏi bất kỳ nhà cung cấp nào về cách họ bảo vệ dữ liệu là hợp lý. [Trang bảo mật](https://tellnod.com/security) giải thích cách Tellnod xử lý việc gửi và dữ liệu. Để dùng thử, hãy [kết nối Tellnod](https://tellnod.com/vi/connect) với Claude hoặc ChatGPT; không có gì được gửi đi cho đến khi bạn bấm Confirm trên [thẻ phê duyệt](https://tellnod.com/glossary#approval-card).

## FAQ

### PHP2Shell là gì?

PHP2Shell là tên các nhà nghiên cứu dùng cho CVE-2026-109618 và CVE-2026-109619, hai lỗ hổng nghiêm trọng trong PHP có thể cho phép kẻ tấn công chạy mã trên máy chủ web mà không cần đăng nhập. Dự án PHP đã sửa chúng ngày 21 tháng 10 năm 2026 [S1][S6].

### Cửa hàng WooCommerce của tôi có bị ảnh hưởng không?

WooCommerce chạy trên WordPress, một ứng dụng PHP [S7], nên nằm trong phạm vi ảnh hưởng trừ khi máy chủ đã dùng PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35 hoặc gói đã vá từ hosting [S1]. Nếu không chắc, hãy hỏi nhà cung cấp hosting.

### Cửa hàng trên Shopify có bị ảnh hưởng không?

Trên nền tảng lưu trữ hoàn toàn như Shopify, bạn không chạy PHP trên máy chủ riêng, nên không có PHP nào bạn phải cập nhật. Tuy vậy, các website riêng bạn tự lưu trữ, như blog WordPress, vẫn cần kiểm tra.

### Plugin bảo mật hoặc tường lửa có đủ không?

Không. Cuộc tấn công có thể bắt đầu trước khi mã cửa hàng hay plugin chạy, và dự án PHP cho biết cập nhật là lựa chọn an toàn duy nhất [S1]. CISA chỉ nêu tường lửa ứng dụng web như biện pháp tạm thời trong lúc vá [S3].

### Bản cập nhật ngày 21 tháng 10 có sửa luôn CVE-2026-115560 không?

Không. CVE-2026-115560 là vấn đề riêng được công bố ngày 23 tháng 10 năm 2026, với bản sửa dự kiến trong bản phát hành định kỳ tiếp theo. Trong thời gian chờ, dự án PHP khuyến nghị `session.upload_progress.enabled = 0` [S2].

## Sources

- [S1] PHP: Security advisory: critical remote code execution vulnerabilities, update now: <https://www.php.net/archive/2026.php#2026-10-21-5> (checked 2026-10-30)
- [S2] PHP: Informational advisory: session upload progress: <https://www.php.net/archive/2026.php#2026-10-23-1> (checked 2026-10-30)
- [S3] CISA: Critical vulnerabilities in PHP require immediate patching: <https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching> (checked 2026-10-30)
- [S4] CISA: Known Exploited Vulnerabilities catalog: <https://www.cisa.gov/known-exploited-vulnerabilities-catalog> (checked 2026-10-30)
- [S5] Rapid7: CVE-2026-109618 and CVE-2026-109619, critical unauthenticated remote code execution in PHP: <https://www.rapid7.com/blog/post/etr-cve-2026-109618-and-cve-2026-109619-critical-unauthenticated-remote-code-execution-in-php/> (checked 2026-10-30)
- [S6] Datadog Security Labs: PHP2Shell, critical vulnerabilities in PHP: <https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php/> (checked 2026-10-30)
- [S7] WordPress.org: Requirements: <https://wordpress.org/about/requirements/> (checked 2026-10-30)