Lỗ hổng PHP nghiêm trọng gây ra cảnh báo cho các sàn giao dịch crypto và trang thanh toán

Một rủi ro bảo mật nghiêm trọng ảnh hưởng đến hàng triệu trang web khiến người dùng tiền điện tử lo lắng, đặc biệt là khách hàng của các sàn giao dịch nhỏ và các bộ xử lý thanh toán crypto.

Vào thứ Tư, ngày 21 tháng 10, các nhà phát triển PHP đã phát hành các bản sửa lỗi khẩn cấp cho hai lỗ hổng được gọi chung là PHP2Shell, với điểm mức độ nghiêm trọng là 9.2 trên 10.

Các lỗi này có thể cho phép kẻ tấn công truy cập vào máy chủ dễ bị tổn thương mà không cần mật khẩu, lấy cắp dữ liệu nhạy cảm hoặc thậm chí chiếm quyền kiểm soát trang web.

Tình hình đòi hỏi sự chú ý ngay lập tức. Cloudflare xác nhận rằng khách hàng của họ đã bị nhắm mục tiêu bởi các nỗ lực khai thác lỗ hổng.

Như một biện pháp an toàn, một số trang web chính phủ châu Âu cũng đã tạm thời ngừng hoạt động.

Hãy coi tôi là kẻ hoang tưởng, nhưng hãy cẩn thận hơn khi truy cập BẤT KỲ trang web nào trong vài ngày tới, vì một số quản trị viên web không phải lúc nào cũng cập nhật các bản vá bảo mật kịp thời.

Hai lỗ hổng (CVE-2026-109618 và CVE-2026-109619) được báo cáo cho PHP, ngôn ngữ lập trình web, ảnh hưởng đến máy chủ…

— CZ 🔶 BNB (@cz_binance) 21 tháng 10, 2026

Nền tảng crypto nào có nguy cơ cao nhất?

PHP là phần mềm nền mà các trang web dựa vào để xử lý thông tin. Khi người dùng đăng nhập vào tài khoản hoặc hoàn tất thanh toán, PHP có thể là một phần trong phản hồi của máy chủ cho yêu cầu đó.

Các nhà nghiên cứu đã tìm ra cách để kẻ tấn công ảnh hưởng đến cách PHP quản lý bộ nhớ máy tính, có thể cho phép chúng tiếp cận dữ liệu mà trang web dự định giữ riêng tư.

Theo Wiz Research, một cuộc tấn công thành công có thể tiết lộ mật khẩu, token xác thực và khóa API. Đó là những thông tin đăng nhập kỹ thuật số có thể mở khóa tài khoản hoặc các dịch vụ được liên kết.

Đối với các doanh nghiệp tiền điện tử, hậu quả có thể nghiêm trọng.

Phân tích của chúng tôi chỉ ra ba hạng mục nổi bật là đặc biệt dễ bị tổn thương:

• Cổng thanh toán crypto: Các thương gia có hệ thống thanh toán phụ thuộc vào PHP có thể đối mặt với rủi ro nghiêm trọng nếu máy chủ của họ không được vá. Các tích hợp WooCommerce được ghi nhận tồn tại cho Binance Pay, Crypto.com Pay, BitPay, CoinGate và CoinPayments.
• Các sàn giao dịch crypto nhỏ hơn: Các nhà vận hành chạy cổng tài khoản hoặc thiết lập thanh toán dựa trên PHP có thể khiến thông tin khách hàng và thông tin xác thực nhạy cảm gặp rủi ro nếu tin tặc đột nhập vào các dịch vụ đó.
• Trang web DeFi và ví: Kẻ tấn công có thể can thiệp vào giao diện web dễ bị tổn thương để hiển thị địa chỉ ví giả hoặc lừa người dùng phê duyệt các giao dịch độc hại.

Hệ thống tình báo đe dọa của SlowMist, MistEye, đã tiến hành quét toàn cầu các tài sản liên quan đến PHP trong ngành công nghiệp crypto.

Chúng tôi kêu gọi tất cả các nền tảng, dự án DeFi, nhà cung cấp ví và các bên liên quan khác đánh giá rủi ro tiềm ẩn và nâng cấp lên các phiên bản đã vá chính thức…

— SlowMist (@SlowMist_Team) 21 tháng 10, 2026

Cần nhấn mạnh rằng đây chỉ là các đánh giá về khả năng bị lộ. Không có bằng chứng xác nhận nào cho thấy các nhà cung cấp thanh toán hoặc các sàn giao dịch lớn được nêu tên ở trên đã bị xâm phạm thông qua PHP2Shell.

Các tích hợp sẵn có của họ dành cho thương gia không tự chúng cho thấy hệ thống của họ dễ bị tổn thương.

Cơ sở hạ tầng được vá hoặc cách ly đúng cách giúp các sàn giao dịch lớn ít bị lộ hơn. Kraken, ví dụ, cho biết họ đã hoàn tất việc chuyển đổi hệ thống backend cốt lõi từ PHP sang Rust vào năm 2025.

Các mạng blockchain, hợp đồng thông minh và khóa riêng tư được bảo vệ trong ví phần cứng offline không bị lộ trực tiếp bởi các lỗ hổng PHP này.

Người dùng crypto nên làm gì ngay bây giờ?

Người dùng không thể tự mình áp dụng bản vá bảo mật PHP; các nhà vận hành trang web mới có trách nhiệm đó. Dù vậy, một vài bước có thể giúp hạn chế thiệt hại có thể xảy ra.

• Chú ý các cập nhật bảo mật chính thức từ sàn giao dịch của bạn và tìm kiếm xác nhận rằng hệ thống web của họ đã được vá.
• Bật xác thực hai yếu tố mạnh hoặc passkey. Sử dụng danh sách trắng địa chỉ rút tiền khi được cung cấp.
• Kiểm tra kỹ địa chỉ thanh toán. Trước khi gửi crypto, hãy xác nhận điểm đến thông qua một kênh tin cậy, đặc biệt là trên các trang thanh toán không quen thuộc.
• Xử lý các cảnh báo bảo mật khẩn cấp với sự nghi ngờ. Tin tặc có thể lợi dụng sự chú ý xung quanh vấn đề này để lan truyền các trang đăng nhập giả hoặc các lời nhắc kết nối ví độc hại.

Không cần thiết phải cho rằng mọi sàn giao dịch crypto đều bị xâm phạm hoặc rút tiền ngay lập tức.

Câu hỏi chính là liệu các nền tảng đã bảo vệ các dịch vụ PHP bị lộ của họ hay chưa. Cho đến khi việc vá được xác minh, các trang web xử lý thanh toán tiền điện tử đáng được cẩn trọng thêm.