PHP là nền tảng xử lý phía máy chủ của hàng triệu website, trong đó có WordPress. Tuy nhiên, nếu máy chủ vẫn sử dụng phiên bản PHP cũ hoặc chưa cài đặt các bản vá bảo mật, website có thể đối mặt với nguy cơ bị khai thác lỗ hổng, thực thi mã trái phép và chiếm quyền kiểm soát hệ thống.
Đáng chú ý, ngày 21/10/2026, dự án PHP phát hành các bản cập nhật bảo mật mới nhằm khắc phục hai lỗ hổng nghiêm trọng có khả năng dẫn đến thực thi mã từ xa. Vì vậy, quản trị viên website cần kiểm tra phiên bản PHP đang sử dụng và triển khai bản vá càng sớm càng tốt.
Trong bài viết này, AnonyViet sẽ hướng dẫn cách kiểm tra phiên bản PHP, cập nhật PHP trên Ubuntu, Debian và DirectAdmin, đồng thời kiểm tra website sau khi nâng cấp để hạn chế nguy cơ phát sinh lỗi.
Ngày 21/10/2026, nhóm phát triển PHP công bố bản cập nhật PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35 để khắc phục hai lỗ hổng nghiêm trọng có thể dẫn đến thực thi mã từ xa (RCE). Các hệ thống chạy PHP xử lý yêu cầu web đều cần được kiểm tra và cập nhật ngay.
Vì sao cần cập nhật PHP thường xuyên?
PHP được sử dụng để xử lý dữ liệu biểu mẫu, truy vấn cơ sở dữ liệu, quản lý phiên đăng nhập và thực thi mã nguồn của các ứng dụng web. Những lỗi trong bộ xử lý PHP có thể ảnh hưởng trực tiếp đến bảo mật của toàn bộ website.
Cập nhật PHP thường xuyên mang lại ba lợi ích chính:
- Khắc phục lỗ hổng bảo mật: Các bản cập nhật có thể sửa lỗi cho phép kẻ tấn công thực thi mã, làm gián đoạn dịch vụ hoặc khai thác dữ liệu.
- Cải thiện hiệu năng: Các phiên bản mới thường có những cải tiến về tốc độ thực thi, quản lý bộ nhớ và xử lý dữ liệu.
- Duy trì khả năng tương thích: Sử dụng phiên bản PHP còn được hỗ trợ giúp website nhận các bản sửa lỗi trong thời gian dài hơn.
Theo chính sách của dự án PHP, mỗi nhánh phiên bản được hỗ trợ đầy đủ trong hai năm đầu và tiếp tục nhận các bản sửa lỗi bảo mật trong hai năm tiếp theo. Sau thời gian này, phiên bản sẽ hết vòng đời hỗ trợ và không còn được vá lỗi chính thức.
PHP mới nhất hiện nay là phiên bản nào?
Tính đến ngày 22/10/2026, PHP 8.5.12 là bản phát hành ổn định mới nhất. PHP 8.6 vẫn đang ở giai đoạn phát hành thử nghiệm, do đó không nên sử dụng phiên bản này cho website đang hoạt động thực tế.
| Nhánh PHP | Phiên bản cập nhật ngày 21/10/2026 | Khuyến nghị |
|---|---|---|
| PHP 8.5 | 8.5.12 | Ưu tiên nếu ứng dụng tương thích |
| PHP 8.4 | 8.4.27 | Cập nhật nếu chưa thể chuyển nhánh |
| PHP 8.3 | 8.3.36 | Cập nhật nếu chưa thể chuyển nhánh |
| PHP 8.2 | 8.2.35 | Cập nhật ngay và lập kế hoạch nâng cấp |
Các phiên bản trên là những bản phát hành được công bố trong đợt cập nhật bảo mật ngày 21/10/2026. Quản trị viên nên kiểm tra trang tải xuống chính thức để xác nhận bản vá mới hơn trước khi triển khai.
Tham khảo: Tải PHP chính thức và Danh sách các phiên bản PHP còn được hỗ trợ.
Kiểm tra phiên bản PHP đang sử dụng
Trước khi cập nhật, hãy xác định phiên bản PHP hiện tại. Có một điểm cần lưu ý: phiên bản PHP hiển thị trong Terminal có thể khác phiên bản mà website đang sử dụng, đặc biệt trên máy chủ có nhiều phiên bản PHP hoặc sử dụng PHP-FPM.
Cách 1: Kiểm tra bằng SSH
Đăng nhập vào máy chủ qua SSH rồi chạy lệnh:
php -v
Kết quả sẽ hiển thị phiên bản PHP CLI, chẳng hạn PHP 8.3.x hoặc PHP 8.4.x.
Để xem đường dẫn của chương trình PHP đang được gọi, sử dụng:
which php php --ini
Hai lệnh này giúp xác định tệp thực thi và tệp cấu hình PHP của môi trường dòng lệnh. Chúng không đảm bảo rằng website đang dùng cùng phiên bản hoặc cùng cấu hình.
Cách 2: Kiểm tra trong WordPress
Đăng nhập trang quản trị WordPress, truy cập Công cụ → Tình trạng trang web → Thông tin → Máy chủ. Tại đây, bạn có thể xem phiên bản PHP mà WordPress đang sử dụng.
Cách 3: Kiểm tra bằng tệp PHP tạm thời
Nếu cần kiểm tra trực tiếp môi trường web, tạo một tệp tên php-version-check.php trong thư mục website với nội dung:
<?php echo PHP_VERSION;
Mở tệp bằng trình duyệt để xem phiên bản PHP thực tế của website. Sau khi kiểm tra, hãy xóa tệp này ngay. Không nên công khai phpinfo() hoặc thông tin cấu hình máy chủ vì chúng có thể tiết lộ dữ liệu hữu ích cho kẻ tấn công.
Cập nhật PHP trên Ubuntu và Debian
Trên Ubuntu và Debian, việc cập nhật PHP phụ thuộc vào nguồn phần mềm mà máy chủ đang sử dụng. Nếu PHP được cài từ kho chính thức của hệ điều hành, bạn có thể cập nhật các gói PHP bằng APT.
Bước 1: Sao lưu trước khi cập nhật
Sao lưu mã nguồn website, cơ sở dữ liệu và các tệp cấu hình PHP. Với website WordPress đang hoạt động, nên thực hiện vào thời điểm ít truy cập và chuẩn bị phương án khôi phục nếu phát sinh lỗi.
Bước 2: Cập nhật danh sách gói và các bản vá
Chạy các lệnh sau với quyền root hoặc thông qua sudo:
sudo apt update sudo apt upgrade
Lệnh apt update làm mới danh sách gói phần mềm. Lệnh apt upgrade cài đặt các bản cập nhật khả dụng theo nguồn phần mềm đã cấu hình.
Lưu ý: Hai lệnh trên không tự động bảo đảm nâng cấp PHP lên nhánh lớn mới nhất. Nếu kho phần mềm chỉ cung cấp PHP 8.3, máy chủ có thể tiếp tục sử dụng PHP 8.3 nhưng được cập nhật bản vá mới nhất mà kho đó cung cấp.
Bước 3: Kiểm tra và cập nhật các gói PHP
Liệt kê các gói PHP đã cài:
dpkg -l 'php*' | grep '^ii'
Kiểm tra các bản cập nhật còn khả dụng:
apt list --upgradable 2>/dev/null | grep -E 'php[0-9.-]|php-'
Nếu các gói PHP được quản lý qua APT và có bản cập nhật phù hợp, chạy apt upgrade rồi kiểm tra lại bằng php -v.
Bước 4: Nếu muốn chuyển sang PHP 8.5
Trước tiên, hãy xác nhận phiên bản PHP 8.5 có sẵn trong kho phần mềm đáng tin cậy dành cho bản phân phối Linux của bạn. Không nên thêm một kho bên thứ ba không rõ nguồn gốc chỉ để cài phiên bản mới hơn.
Trên hệ thống có sẵn các gói PHP 8.5, có thể cài các gói cần thiết theo nhu cầu, ví dụ:
sudo apt install php8.5 php8.5-cli php8.5-common \ php8.5-curl php8.5-mbstring php8.5-xml \ php8.5-mysql php8.5-zip php8.5-gd
Danh sách trên chỉ là ví dụ. Tên gói, khả năng cung cấp và các tiện ích mở rộng phụ thuộc vào bản phân phối và kho phần mềm. Không cài các gói theo tên trên nếu hệ thống chưa cung cấp chúng.
Nếu website sử dụng PHP-FPM, cần cài gói PHP-FPM tương ứng, cấu hình web server chuyển sang đúng socket hoặc cổng mới, đồng thời kiểm tra các tiện ích mở rộng cần thiết. Với Apache sử dụng mod_php, cách chuyển phiên bản sẽ khác và cần thực hiện theo cấu hình hiện tại.
Sau khi chuyển đổi, hãy kiểm tra website, nhật ký lỗi và các tác vụ nền trước khi ngừng phiên bản PHP cũ.
Cập nhật PHP trên DirectAdmin
DirectAdmin sử dụng CustomBuild để quản lý và biên dịch các phiên bản PHP. Đây là cách phù hợp với máy chủ VPS đang sử dụng DirectAdmin thay vì cài đè PHP bằng APT.
Bước 1: Kiểm tra cấu hình PHP hiện tại
Đăng nhập SSH bằng tài khoản có quyền quản trị, sau đó chạy:
grep -E '^php[1-9]_(release|mode)=' \ /usr/local/directadmin/custombuild/options.conf
Kết quả giúp xác định các nhánh PHP đã cấu hình và chế độ xử lý như PHP-FPM. Nếu đang chạy nhiều phiên bản PHP, hãy kiểm tra tất cả các nhánh trước khi thay đổi.
Bước 2: Cập nhật PHP lên bản vá mới nhất của nhánh hiện tại
Nếu đang dùng PHP 8.5, có thể sử dụng CustomBuild để xây dựng lại phiên bản PHP theo cấu hình hiện tại:
cd /usr/local/directadmin/custombuild ./build update ./build php 8.5
Với bản cài đặt DirectAdmin hỗ trợ giao diện lệnh da build, có thể sử dụng:
da build update da build php 8.5
Lệnh build php 8.5 yêu cầu PHP 8.5 đã được cấu hình trong CustomBuild. Hãy kiểm tra kết quả đầu ra để xác nhận phiên bản được tải và xây dựng thực tế đã bao gồm bản vá cần thiết. Không mặc định rằng việc biên dịch lại luôn đồng nghĩa với việc đã có mã nguồn mới nhất.
Bước 3: Nâng cấp nhánh PHP lên 8.5 nếu cần
Nếu máy chủ đang dùng PHP 8.3 hoặc 8.4 và muốn chuyển sang PHP 8.5, trước tiên cần đánh giá khả năng tương thích của website, theme, plugin và các ứng dụng PHP khác.
Sau khi sao lưu và kiểm tra tính tương thích, có thể cấu hình PHP 8.5 làm phiên bản chính bằng lệnh:
cd /usr/local/directadmin/custombuild ./build set php1_release 8.5 ./build php ./build rewrite_confs
Hoặc sử dụng cú pháp:
da build set php1_release 8.5 da build php da build rewrite_confs
Cảnh báo: Thay đổi php1_release có thể ảnh hưởng đến nhiều website đang sử dụng phiên bản PHP mặc định. Trên máy chủ nhiều website, hãy kiểm tra PHP Selector, các nhánh php2_release trở lên và cấu hình riêng của từng tên miền. Nếu chưa xác nhận khả năng tương thích, nên cài PHP 8.5 như một phiên bản bổ sung rồi chuyển từng website để kiểm tra.
Tài liệu chính thức: Hướng dẫn quản lý PHP trên DirectAdmin.
Cập nhật PHP trên máy chủ dùng Apache
Apache có thể chạy PHP theo nhiều cách khác nhau, chẳng hạn PHP-FPM hoặc mod_php. Cách cập nhật phụ thuộc vào phương thức đang sử dụng.
Nếu PHP được quản lý bởi gói phần mềm của hệ điều hành, hãy cập nhật các gói tương ứng qua trình quản lý gói. Nếu PHP được quản lý qua DirectAdmin CustomBuild, hãy sử dụng CustomBuild thay vì cài một bản PHP riêng không được tích hợp với cấu hình hiện tại.
Với PHP-FPM, cần xác nhận dịch vụ FPM của đúng phiên bản đã hoạt động và Apache đang chuyển yêu cầu đến đúng socket hoặc cổng. Không nên tự động khởi động lại một dịch vụ có tên đoán trước khi chưa xác định tên dịch vụ thực tế.
Kiểm tra trạng thái các dịch vụ PHP-FPM hiện có bằng lệnh:
systemctl list-units --type=service | grep -i php
Sau khi cập nhật, kiểm tra cấu hình Apache và nhật ký lỗi. Chỉ khởi động lại hoặc tải lại dịch vụ phù hợp với phương thức PHP mà máy chủ đang sử dụng.
Kiểm tra website sau khi cập nhật PHP
Việc cập nhật chỉ hoàn tất khi website thực sự chạy trên phiên bản PHP đã vá lỗi và các chức năng quan trọng vẫn hoạt động.
Hãy kiểm tra các nội dung sau:
- Trang chủ, trang bài viết, trang tìm kiếm và trang đăng nhập.
- Trang quản trị WordPress, trình soạn thảo và chức năng cập nhật nội dung.
- Biểu mẫu liên hệ, tải tệp lên, gửi email và các chức năng thanh toán nếu có.
- Plugin, theme, tác vụ cron, REST API và các tích hợp bên ngoài.
- Nhật ký lỗi PHP, PHP-FPM và Apache để phát hiện lỗi cú pháp hoặc lỗi tương thích.
Chạy php -v qua SSH để kiểm tra PHP CLI, đồng thời kiểm tra lại phiên bản PHP trong WordPress hoặc thông qua một bài kiểm tra web tạm thời đã được bảo vệ và xóa sau khi sử dụng.
Những biện pháp tăng cường bảo mật PHP
Cập nhật PHP là bước quan trọng nhưng không thay thế toàn bộ các biện pháp bảo mật máy chủ. Quản trị viên nên thực hiện thêm các công việc sau:
- Cập nhật WordPress, theme và plugin lên phiên bản được nhà phát triển hỗ trợ.
- Xóa plugin, theme và mã nguồn không còn sử dụng.
- Giới hạn quyền ghi tệp và quyền thực thi theo nguyên tắc tối thiểu.
- Không công khai các tệp chứa thông tin cấu hình, thông tin kết nối cơ sở dữ liệu hoặc dữ liệu chẩn đoán.
- Sử dụng HTTPS, xác thực nhiều lớp cho tài khoản quản trị và sao lưu định kỳ.
- Kiểm tra các tiến trình PHP đang chạy và nhật ký hệ thống khi phát hiện hoạt động bất thường.
- Đánh giá cấu hình disable_functions một cách phù hợp với ứng dụng, thay vì vô hiệu hóa tùy tiện các hàm mà website cần sử dụng.
Trên DirectAdmin, quản trị viên có thể tham khảo tùy chọn secure_php của CustomBuild để áp dụng một số thiết lập bảo mật PHP. Tuy nhiên, việc vô hiệu hóa hàm PHP không thể thay thế việc cài bản vá bảo mật.
Tài liệu tham khảo: Tăng cường bảo mật PHP trên DirectAdmin.
Kết luận
Duy trì PHP ở phiên bản còn được hỗ trợ và cài đặt đầy đủ các bản vá bảo mật là yêu cầu quan trọng đối với mọi website PHP, đặc biệt là các website WordPress chạy trên VPS.
Tại thời điểm viết bài, PHP 8.5.12 là bản ổn định mới nhất. Quản trị viên nên kiểm tra nguồn cài đặt, xác nhận phiên bản PHP thực tế của website và triển khai bản cập nhật phù hợp ngay khi có thể. Với hệ thống đang vận hành, hãy sao lưu dữ liệu, thử nghiệm tính tương thích và kiểm tra nhật ký sau khi nâng cấp để giảm thiểu nguy cơ gián đoạn dịch vụ.
