Ứng phó với lỗ hổng PHP: Các chủ sở hữu trang web cần cập nhật ngay phiên bản phần mềm; người dùng thông thường nên tăng cường bảo mật tài khoản và phòng chống lừa đảo (phishing).

Vào ngày 22 tháng 10, nhóm phát triển chính thức của PHP đã công bố thông báo bảo mật tiết lộ giải pháp xử lý lỗ hổng “php2shell”: Người dùng đang chạy các nhánh PHP 8.5, 8.4, 8.3 hoặc 8.2 cần nâng cấp ngay lập tức lên các phiên bản đã được vá tương ứng — cụ thể là PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35. Nếu đang sử dụng phiên bản PHP do nhà phân phối hệ điều hành cung cấp, người dùng cần cài đặt các bản vá do nhà phân phối đó phát hành. Các phiên bản PHP 8.1 và cũ hơn đã hết chu kỳ hỗ trợ chính thức; người dùng đang sử dụng những phiên bản này bắt buộc phải chuyển sang một trong các nhánh hiện vẫn được hỗ trợ, hoặc chủ động liên hệ với nhà phân phối hệ điều hành và/hoặc nhà cung cấp dịch vụ hỗ trợ dài hạn (LTS) để xác minh xem có bản vá tùy chỉnh nào dành riêng cho phiên bản cũ hay không.

Đối với người dùng cá nhân, các khuyến nghị phòng thủ có thể tham khảo hướng dẫn chung của Cơ quan An ninh Mạng và Cơ sở Hạ tầng (CISA) thuộc Hoa Kỳ: Thứ nhất, kích hoạt xác thực hai yếu tố (2FA) cho các tài khoản có mức độ nhạy cảm cao như email và tài khoản ngân hàng; thứ hai, thiết lập mật khẩu mạnh và riêng biệt cho từng tài khoản trực tuyến — tuyệt đối không tái sử dụng cùng một mật khẩu trên nhiều nền tảng; thứ ba, luôn cảnh giác cao độ với mọi email tuyên bố yêu cầu “đặt lại mật khẩu khẩn cấp”, và mọi thao tác thay đổi mật khẩu đều phải được thực hiện bằng cách truy cập trực tiếp vào trang web chính thức hoặc ứng dụng di động chính hãng — không bao giờ nhấp vào bất kỳ liên kết nào đính kèm trong email. Mặc dù những biện pháp này giúp giảm đáng kể rủi ro bị đánh cắp tài khoản và tấn công lừa đảo (phishing), chúng hoàn toàn không khắc phục được lỗ hổng tồn tại ở môi trường PHP phía máy chủ.

Cloudflare nhấn mạnh rằng lỗ hổng này bắt nguồn từ trình thông dịch PHP đang chạy trên máy chủ, do đó việc chỉ cập nhật mã nguồn website hoặc các plugin bên thứ ba là hoàn toàn vô hiệu. Người dùng dịch vụ lưu trữ (hosting) cần chủ động liên hệ nhà cung cấp dịch vụ để xác minh xem thời điểm thực thi PHP (PHP runtime) ở tầng hạ tầng có đã được nâng cấp lên phiên bản an toàn hay chưa. Đồng thời, Cloudflare đã bổ sung vào tường lửa ứng dụng web (WAF) của mình các quy tắc phát hiện và phản ứng bao phủ toàn bộ chuỗi giao dịch HTTP, và mở rộng khả năng kích hoạt tính năng này cho toàn bộ khách hàng — bao gồm cả người dùng gói miễn phí. Trong suốt giai đoạn chờ vá lỗ hổng hoàn tất, người dùng bắt buộc phải duy trì trạng thái bật WAF; tuy nhiên cần lưu ý rõ ràng rằng các biện pháp giảm nhẹ tạm thời như cấu hình chính sách WAF hoặc giới hạn tải tệp lên đều KHÔNG thể thay thế cho bản vá gốc.

Công ty an ninh mạng Huntress đề xuất các bước phản ứng cấp doanh nghiệp: Ngay lập tức tiến hành kiểm kê toàn bộ tài sản CNTT, bao gồm máy chủ vật lý/virtual, bảng điều khiển quản trị và các thành phần phần mềm bên thứ ba được tích hợp — nhằm xác định chính xác mọi vị trí đang triển khai PHP; ưu tiên áp dụng bản vá cho các hệ thống có mặt trên mạng công cộng; đối với các phiên bản ngừng bảo trì mà chưa thể nâng cấp trong ngắn hạn, cần ngắt ngay kết nối mạng ra ngoài. Ngoài ra, cần giám sát liên tục hành vi của tiến trình PHP, đặc biệt chú ý các dấu hiệu bất thường như gọi công cụ dòng lệnh (CLI), khởi chạy trình thông dịch tương tác (interactive shell) hoặc tải về các tập tin thực thi từ bên ngoài; ngay khi phát hiện, phải cách ly ngay máy chủ liên quan và lưu giữ đầy đủ nhật ký truy cập website cũng như nhật ký lỗi/thực thi PHP để phục vụ công tác điều tra, truy vết.