Trong quá trình kiểm tra môi trường phát triển XAMPP trên Windows, tôi phát hiện máy chủ Apache đang sử dụng PHP 8.2.12 — một phiên bản nằm trong nhóm bị ảnh hưởng bởi các lỗ hổng bảo mật nghiêm trọng có thể dẫn đến thực thi mã từ xa không cần xác thực, thường được gọi là RCE.
Để xử lý vấn đề, tôi đã nâng cấp PHP lên phiên bản 8.2.35, cập nhật cấu hình XAMPP, khởi động lại Apache và kiểm tra lại PHP runtime thực tế đang phục vụ ứng dụng web.
Bài viết này trình bày toàn bộ quy trình nâng cấp PHP trên XAMPP, từ kiểm tra phiên bản, sao lưu dữ liệu, lựa chọn bản PHP phù hợp cho Windows đến xác minh Apache đang chạy đúng phiên bản đã vá.
Mục lục
Tổng quan về lỗ hổng PHP2Shell RCE
Theo các thông báo bảo mật được công bố, hai lỗ hổng nghiêm trọng ảnh hưởng đến một số nhánh PHP cũ có thể cho phép kẻ tấn công từ xa thực thi mã trên hệ thống mà không cần đăng nhập trước.
Các lỗ hổng được theo dõi dưới mã:
- CVE-2026-109618
- CVE-2026-109619
Cả hai lỗ hổng được đánh giá ở mức CVSS 9.2 – Critical. Đây là mức độ nghiêm trọng rất cao, đặc biệt đối với các máy chủ PHP được công khai trên Internet.
Điểm quan trọng là vấn đề nằm trong chính PHP runtime, không chỉ nằm ở mã nguồn ứng dụng, framework hoặc plugin. Vì vậy, việc sửa một vài đoạn mã PHP trong ứng dụng không thể thay thế cho quá trình cập nhật PHP.
Những phiên bản PHP bị ảnh hưởng
Các nhánh PHP cũ hơn phiên bản đã được vá cần được kiểm tra và nâng cấp. Những phiên bản đã được khuyến nghị sử dụng gồm:
| Nhánh PHP | Phiên bản đã vá |
|---|---|
| PHP 8.2 | PHP 8.2.35 |
| PHP 8.3 | PHP 8.3.36 |
| PHP 8.4 | PHP 8.4.27 |
| PHP 8.5 | PHP 8.5.12 |
Trong trường hợp đang sử dụng PHP 8.2, phiên bản cần nâng cấp tối thiểu là PHP 8.2.35. Người dùng nên đối chiếu lại số phiên bản và thông báo bảo mật mới nhất trên trang PHP chính thức trước khi triển khai trên máy chủ sản xuất.
Vì sao lỗ hổng PHP này nghiêm trọng?
Các lỗi bảo mật được mô tả liên quan đến cơ chế xử lý bộ nhớ và trạng thái nội bộ của PHP trong quá trình xử lý request.
Một lỗ hổng liên quan đến hiện tượng memory corruption khi PHP xử lý tình huống thiếu bộ nhớ. Lỗ hổng còn lại liên quan đến trạng thái toàn cục cũ vẫn có thể tồn tại sau khi bộ nhớ của request đã được giải phóng.
Nếu khai thác thành công, kẻ tấn công có thể tìm cách thực thi mã tùy ý trên máy chủ. Tác động thực tế có thể bao gồm:
- Đọc dữ liệu nhạy cảm trên máy chủ.
- Đánh cắp thông tin kết nối cơ sở dữ liệu.
- Ghi hoặc sửa đổi tệp PHP.
- Tạo tài khoản quản trị trái phép.
- Cài đặt web shell hoặc mã độc.
- Truy cập các dịch vụ nội bộ.
- Đánh cắp khóa API, mật khẩu và thông tin xác thực.
- Sử dụng máy chủ để phát tán mã độc hoặc tấn công hệ thống khác.
Những môi trường có thể bị ảnh hưởng bao gồm PHP-FPM, Apache mod_php, CGI, FrankenPHP và LiteSpeed. Trong đó, cấu hình Apache sử dụng mod_php được đánh giá là có mức độ rủi ro đáng chú ý.
Kiểm tra phiên bản PHP hiện tại trên Windows
Trước khi nâng cấp, cần xác định chính xác phiên bản PHP đang được cài đặt. Với XAMPP trên Windows, hãy mở PowerShell hoặc Command Prompt và chạy:
C:\xampp\php\php.exe -vTrong môi trường của tôi, kết quả ban đầu là:
PHP 8.2.12 (cli) (built: Oct 24 2023 21:15:15) (ZTS Visual C++ 2019 x64)
Copyright (c) The PHP Group
Zend Engine v4.2.12Kết quả này cho thấy hệ thống đang sử dụng PHP 8.2.12. Vì phiên bản này thấp hơn PHP 8.2.35, tôi xác định đây là phiên bản cần được cập nhật.
Nếu lệnh php -v trả về một phiên bản khác với C:\xampp\php\php.exe -v, có thể máy tính đang tồn tại nhiều bản PHP hoặc biến môi trường PATH đang trỏ đến một thư mục khác.
CLI PHP và Apache PHP có thể không giống nhau
Một lỗi phổ biến khi kiểm tra bảo mật PHP là chỉ chạy lệnh:
php -vLệnh này chỉ cho biết phiên bản PHP được sử dụng trong terminal hoặc Command Prompt. Nó không đảm bảo Apache đang chạy cùng phiên bản PHP.
Trong thực tế, có thể xảy ra tình huống:
PHP trong CLI → 8.2.35
PHP chạy qua Apache → 8.2.12Do đó, sau khi nâng cấp, cần kiểm tra cả hai môi trường:
PHP trong CLI → 8.2.35
PHP chạy qua Apache → 8.2.35Đây là lý do quá trình xác minh thông qua trình duyệt và Apache rất quan trọng.
Bước 1: Sao lưu dự án và cấu hình XAMPP
Trước khi thay thế PHP, hãy sao lưu toàn bộ môi trường hiện tại. Việc này giúp dễ dàng khôi phục nếu phiên bản mới gây lỗi tương thích với ứng dụng hoặc extension.
Các thư mục quan trọng cần sao lưu gồm:
C:\xampp\htdocs
C:\xampp\php
C:\xampp\apache\conf
C:\xampp\mysql\dataTrong đó:
C:\xampp\htdocschứa mã nguồn và các dự án PHP.C:\xampp\phpchứa PHP runtime, extension và cấu hình.- Cấu hình Apache xác định cách Apache nạp PHP.
C:\xampp\mysql\datacó thể chứa dữ liệu cơ sở dữ liệu MySQL hoặc MariaDB.
Ngoài việc sao chép thư mục, nên xuất cơ sở dữ liệu bằng phpMyAdmin hoặc công cụ dòng lệnh:
mysqldump -u root -p ten_co_so_du_lieu > database-backup.sqlKhông nên xem việc nâng cấp PHP chỉ là thao tác xóa thư mục cũ rồi giải nén thư mục mới. Một bản sao lưu đầy đủ sẽ giúp giảm đáng kể rủi ro mất dữ liệu.
Bước 2: Chọn đúng phiên bản PHP cho XAMPP
Vì môi trường hiện tại sử dụng PHP 8.2, tôi chọn phiên bản PHP 8.2.35. Đây là bản cập nhật trong cùng nhánh PHP 8.2 và giúp hạn chế các thay đổi tương thích so với việc chuyển ngay sang nhánh PHP lớn hơn.
Khi lựa chọn gói PHP cho Windows, cần kiểm tra các thông số sau:
- Kiến trúc hệ điều hành: x64 hoặc x86.
- Thread Safe hoặc Non Thread Safe.
- Phiên bản Visual C++.
- Cách PHP được tích hợp với Apache.
- Các extension mà ứng dụng đang sử dụng.
Trong môi trường XAMPP của tôi, PHP cũ có thông số:
x64
ZTS
Visual C++ 2019Vì Apache sử dụng PHP như một module, cần chọn đúng bản Thread Safe tương thích với cấu hình đang chạy.
Có thể tải PHP cho Windows từ nguồn chính thức:
PHP for Windows – Trang tải xuống chính thức
Bước 3: Giữ lại bản PHP cũ để có thể rollback
Không nên xóa ngay thư mục PHP cũ. Thay vào đó, hãy đổi tên thư mục hiện tại:
C:\xampp\phpthành:
C:\xampp\php_oldSau đó tạo thư mục mới:
C:\xampp\phpGiải nén gói PHP 8.2.35 mới vào thư mục này.
Cách làm này mang lại một số lợi ích:
- Có thể khôi phục nhanh nếu Apache không khởi động.
- Dễ dàng so sánh các tệp cấu hình giữa hai phiên bản.
- Không làm mất ngay bản PHP đang hoạt động.
- Thuận tiện kiểm tra extension hoặc DLL còn thiếu.
Bước 4: Di chuyển và kiểm tra tệp php.ini
Thông thường, tệp cấu hình PHP cũ nằm tại:
C:\xampp\php_old\php.iniCó thể sao chép tệp này sang thư mục PHP mới:
C:\xampp\php\php.iniTuy nhiên, không nên mặc định rằng mọi thiết lập trong php.ini cũ đều còn phù hợp với bản PHP mới. Một số đường dẫn extension, thư viện hoặc tệp phụ trợ có thể đã thay đổi.
Trong quá trình kiểm tra, tôi gặp lỗi liên quan đến cấu hình browscap:
PHP Warning: Cannot open
"C:\xampp\php\extras\browscap.ini"
PHP Fatal error:
Unable to start standard moduleNguyên nhân là tệp php.ini cũ đang tham chiếu đến tệp:
C:\xampp\php\extras\browscap.iniTrong khi thư mục PHP mới không chứa đường dẫn hoặc tệp tương ứng.
Để xử lý, hãy mở php.ini, tìm từ khóa:
browscapSau đó vô hiệu hóa dòng cấu hình lỗi bằng cách thêm dấu chấm phẩy ở đầu:
;browscap = "C:\xampp\php\extras\browscap.ini"Sau khi chỉnh sửa, lưu tệp và kiểm tra lại PHP:
C:\xampp\php\php.exe -vBước 5: Xác minh PHP 8.2.35 trong Command Prompt
Nếu quá trình thay thế thành công, kết quả sẽ hiển thị phiên bản mới:
PHP 8.2.35 (cli) (built: Oct 20 2026 04:17:59)
(ZTS Visual C++ 2019 x64)
Copyright (c) The PHP Group
Zend Engine v4.2.35Điều này xác nhận PHP binary trong thư mục XAMPP đã được cập nhật từ:
PHP 8.2.12lên:
PHP 8.2.35Nếu vẫn thấy phiên bản cũ, hãy kiểm tra các vấn đề sau:
- Đã giải nén đúng thư mục chưa.
- Đường dẫn trong lệnh có trỏ đến
C:\xampp\php\php.exekhông. - Có nhiều bản PHP trên máy không.
- Biến môi trường
PATHcó đang trỏ đến PHP cũ không. - Tệp
php.execó đúng bản tải xuống không.
Bước 6: Khởi động lại Apache trong XAMPP
Mở XAMPP Control Panel, dừng Apache nếu Apache đang chạy, sau đó khởi động lại dịch vụ.
Việc khởi động lại là cần thiết vì Apache có thể vẫn đang giữ PHP runtime cũ trong bộ nhớ. Chỉ thay thế các tệp trên ổ đĩa sẽ không luôn làm tiến trình hiện tại chuyển sang phiên bản mới.
Nếu Apache không khởi động, hãy kiểm tra:
- Nhật ký lỗi Apache.
- Đường dẫn đến
php8apache2_4.dll. - Cấu hình
LoadModuletrong Apache. - Các DLL phụ thuộc của PHP.
- Phiên bản Visual C++ Runtime.
- Cổng 80 hoặc 443 có bị ứng dụng khác chiếm dụng hay không.
Bước 7: Kiểm tra PHP thực tế thông qua Apache
Để xác minh PHP mà Apache đang sử dụng, hãy tạo tệp tạm tại:
C:\xampp\htdocs\php-test.phpNội dung tệp:
<?php
phpinfo();Mở trình duyệt và truy cập:
http://localhost/php-test.phpTrang thông tin PHP cần hiển thị:
PHP Version 8.2.35Ngoài phiên bản, hãy kiểm tra thêm các trường:
- Server API: Apache 2.0 Handler.
- Thread Safety: enabled.
- Loaded Configuration File:
C:\xampp\php\php.ini. - Architecture: x64.
Nếu trang phpinfo() hiển thị PHP 8.2.35, điều đó xác nhận Apache đang sử dụng runtime đã được cập nhật.
Bước 8: Kiểm tra các extension PHP
Sau khi cập nhật PHP, các extension cũ có thể không hoạt động do khác phiên bản hoặc thiếu DLL. Hãy kiểm tra danh sách module bằng lệnh:
C:\xampp\php\php.exe -mMột ứng dụng PHP/MySQL thông thường có thể cần những extension như:
curl
gd
mbstring
mysqli
mysqlnd
openssl
PDO
pdo_mysql
pdo_sqlite
session
xml
xmlreader
xmlwriterĐặc biệt, các ứng dụng sử dụng MySQL thường phụ thuộc vào:
mysqli
PDO
pdo_mysqlNếu extension bị thiếu, hãy kiểm tra các dòng tương ứng trong php.ini, ví dụ:
extension=mysqli
extension=pdo_mysql
extension=mbstring
extension=curlKhông nên bật mọi extension nếu ứng dụng không cần. Chỉ nên kích hoạt các module cần thiết để giảm bề mặt tấn công và hạn chế lỗi cấu hình.
Bước 9: Kiểm tra ứng dụng sau khi nâng cấp PHP
Việc lệnh php -v hiển thị đúng phiên bản không có nghĩa ứng dụng chắc chắn hoạt động bình thường. Một số thay đổi trong PHP có thể ảnh hưởng đến mã nguồn cũ, thư viện hoặc framework.
Hãy kiểm tra các chức năng quan trọng của ứng dụng, chẳng hạn:
- Trang chủ.
- Đăng nhập người dùng.
- Đăng nhập quản trị.
- Kết nối cơ sở dữ liệu.
- Thao tác thêm, sửa, xóa dữ liệu.
- Tải ảnh lên máy chủ.
- Tải tệp lên hệ thống.
- CKEditor hoặc trình soạn thảo nội dung.
- Session và cookie.
- Chức năng tìm kiếm.
- Bảng điều khiển quản trị.
- Các truy vấn MySQL và PDO.
- Gửi email hoặc gọi API bên ngoài.
Nên kiểm tra log Apache và log PHP trong quá trình thử nghiệm. Nếu phát hiện cảnh báo hoặc lỗi nghiêm trọng, hãy xử lý trước khi triển khai bản cập nhật lên máy chủ sản xuất.
Bước 10: Xóa tệp phpinfo() sau khi kiểm tra
Sau khi xác minh xong, hãy xóa tệp:
C:\xampp\htdocs\php-test.phpKhông nên để trang phpinfo() công khai trên máy chủ vì nó có thể tiết lộ nhiều thông tin nhạy cảm, bao gồm:
- Phiên bản PHP.
- Phiên bản Apache.
- Danh sách extension.
- Đường dẫn hệ thống.
- Các biến môi trường.
- Thiết lập upload file.
- Thông tin module và thư viện.
- Cấu hình máy chủ và giới hạn tài nguyên.
Trong môi trường sản xuất, nếu cần kiểm tra PHP, nên giới hạn quyền truy cập hoặc sử dụng công cụ quản trị nội bộ thay vì để tệp này mở cho mọi người.
Kết quả trước và sau khi nâng cấp
Trước khi cập nhật:
PHP: 8.2.12
Server: XAMPP trên Windows
Apache: Đang chạy
Trạng thái: Có nguy cơ bị ảnh hưởngSau khi cập nhật:
PHP: 8.2.35
Architecture: x64
Thread Safety: Enabled
Server API: Apache 2.0 Handler
php.ini: C:\xampp\php\php.ini
Trạng thái: Đã cập nhật bản váCác mục cần xác nhận cuối cùng:
CLI PHP → 8.2.35 OK
Apache PHP → 8.2.35 OK
PHP modules → Hoạt động OK
PDO/MySQL → Hoạt động OK
Ứng dụng → Đã kiểm thử OK
phpinfo() → Đã xóa OKKhông thể khắc phục lỗ hổng chỉ bằng cách sửa mã nguồn
Một số quản trị viên có thể cố gắng thêm điều kiện kiểm tra trong ứng dụng, chẳng hạn:
if (...) {
// Kiểm tra bảo mật trong ứng dụng
}Cách làm này không sửa được lỗ hổng nằm trong PHP runtime. Nếu lỗi xảy ra ở cấp độ xử lý bộ nhớ hoặc cơ chế nội bộ của PHP, ứng dụng không thể kiểm soát hoàn toàn hành vi đó.
Biện pháp ưu tiên vẫn là:
- Nâng cấp PHP lên phiên bản đã được vá.
- Khởi động lại PHP-FPM hoặc Apache.
- Xác minh phiên bản PHP đang phục vụ request.
- Kiểm tra extension và cấu hình.
- Kiểm thử toàn bộ ứng dụng.
- Rà soát log nếu máy chủ từng được công khai.
Nếu chưa thể nâng cấp PHP ngay thì sao?
Trong một số hệ thống cũ, việc nâng cấp PHP có thể cần thời gian do phụ thuộc vào framework, thư viện hoặc mã nguồn lỗi thời. Tuy nhiên, các biện pháp tạm thời chỉ nên được xem là giải pháp giảm thiểu rủi ro trong thời gian ngắn, không phải phương án thay thế bản vá chính thức.
Có thể cân nhắc các biện pháp bổ sung như:
- Hạn chế máy chủ PHP tiếp xúc trực tiếp với Internet.
- Sử dụng tường lửa để giới hạn nguồn truy cập.
- Giảm kích thước tệp tải lên.
- Rà soát giới hạn bộ nhớ PHP.
- Tắt các tính năng không cần thiết.
- Đặt ứng dụng phía sau reverse proxy hoặc WAF.
- Giám sát log truy cập và log lỗi.
- Cô lập máy chủ dễ bị tấn công khỏi các hệ thống quan trọng.
Tuy nhiên, các biện pháp trên không đảm bảo loại bỏ hoàn toàn lỗ hổng. Cách xử lý đáng tin cậy nhất vẫn là cập nhật PHP lên bản đã được nhà phát triển phát hành bản vá.
Nếu máy chủ từng công khai trên Internet
Nếu PHP phiên bản dễ bị tấn công đã từng được sử dụng trên máy chủ công khai, không nên cho rằng việc nâng cấp đã hoàn tất toàn bộ quá trình xử lý sự cố.
Cần xem xét khả năng hệ thống đã bị truy cập trái phép trước thời điểm cập nhật. Hãy rà soát:
- Access log của Apache hoặc web server.
- PHP error log và application log.
- Log đăng nhập hệ điều hành.
- Các tệp PHP mới được tạo hoặc sửa đổi gần đây.
- Các web shell hoặc tệp có tên bất thường.
- Tài khoản quản trị mới.
- Cron job hoặc Scheduled Task lạ.
- Kết nối ra ngoài bất thường.
- Tiến trình đang chạy không rõ nguồn gốc.
- Khóa API và mật khẩu được lưu trong ứng dụng.
- Các tệp tải lên có chứa mã thực thi.
Nếu nghi ngờ đã bị xâm nhập, không nên chỉ thay thế PHP rồi bỏ qua điều tra. Hãy cân nhắc:
- Cô lập máy chủ khỏi Internet nếu cần thiết.
- Sao lưu bằng chứng và log liên quan.
- Đổi mật khẩu cơ sở dữ liệu.
- Thu hồi và cấp lại API key.
- Đổi thông tin đăng nhập quản trị.
- Kiểm tra toàn bộ mã nguồn và tệp tải lên.
- Đánh giá các máy chủ khác có liên quan.
- Khôi phục từ bản sao lưu sạch nếu có dấu hiệu xâm nhập nghiêm trọng.
Lưu ý về vòng đời hỗ trợ PHP 8.2
PHP 8.2.35 là phiên bản phù hợp để vá lỗi trong nhánh PHP 8.2 theo thông tin được đề cập. Tuy nhiên, việc nâng cấp lên bản vá không có nghĩa nên tiếp tục duy trì PHP 8.2 trong thời gian dài.
Mỗi nhánh PHP đều có vòng đời hỗ trợ riêng. Khi một nhánh tiến gần hoặc vượt qua thời hạn hỗ trợ bảo mật, người quản trị nên lập kế hoạch chuyển sang phiên bản PHP mới hơn còn được hỗ trợ.
Trước khi chuyển nhánh PHP, hãy kiểm tra:
- Framework đang sử dụng có tương thích không.
- Composer package có hỗ trợ phiên bản mới không.
- Các extension quan trọng có hoạt động không.
- Mã nguồn có sử dụng hàm đã bị loại bỏ không.
- Ứng dụng có cần thay đổi cấu hình không.
- Hệ thống staging đã được kiểm thử chưa.
Quy trình cập nhật PHP an toàn trên XAMPP
Toàn bộ quy trình có thể tóm tắt như sau:
Kiểm tra PHP hiện tại
↓
Sao lưu mã nguồn, cấu hình và cơ sở dữ liệu
↓
Tải PHP bản vá đúng kiến trúc Windows
↓
Đổi tên thư mục PHP cũ
↓
Giải nén PHP mới vào C:\xampp\php
↓
Chuyển và rà soát php.ini
↓
Xử lý cấu hình obsolete như browscap
↓
Khởi động lại Apache
↓
Kiểm tra php.exe -v
↓
Kiểm tra PHP qua Apache bằng phpinfo()
↓
Kiểm tra extension
↓
Kiểm thử ứng dụng
↓
Xóa tệp phpinfo()
↓
Rà soát log và hoàn tất cập nhậtKết luận
Nếu hệ thống đang sử dụng PHP 8.2.12 hoặc một phiên bản cũ hơn phiên bản đã được vá, hãy kiểm tra và nâng cấp càng sớm càng tốt. Với môi trường XAMPP, quá trình cập nhật không chỉ dừng lại ở việc thay thế thư mục PHP.
Cần thực hiện đầy đủ các bước:
- Kiểm tra phiên bản PHP.
- Sao lưu dự án và dữ liệu.
- Chọn đúng bản PHP Thread Safe cho Windows.
- Giữ lại phiên bản cũ để rollback.
- Rà soát tệp
php.ini. - Khởi động lại Apache.
- Kiểm tra phiên bản PHP qua cả CLI và Apache.
- Kiểm tra extension.
- Kiểm thử ứng dụng thực tế.
- Xóa tệp
phpinfo()sau khi hoàn thành.
Bài học quan trọng nhất là không nên chỉ kiểm tra PHP trong terminal. Điều cần xác nhận là PHP runtime thực tế đang xử lý các request của ứng dụng web cũng phải là phiên bản đã được cập nhật và vá lỗi.
