So sánh aaPanel, CyberPanel, HestiaCP và ZoPanel năm 2026

Nói ngắn gọn: aaPanel hợp với người mới muốn kho ứng dụng cài một chạm lớn trên VPS nhỏ, CyberPanel hợp với website WordPress xây quanh OpenLiteSpeed và plugin LiteSpeed Cache, HestiaCP hợp với quản trị viên muốn panel miễn phí, truyền thống, có mail và DNS, còn ZoPanel hợp với người host website cho người khác và cần cách ly từng tài khoản. aaPanel và CyberPanel là cặp hay được so sánh nhất, và khác biệt lớn nhất giữa chúng không phải tốc độ mà là web server và lịch sử bảo mật.

Bài so sánh này dùng tài liệu chính thức của từng hãng và các cơ sở dữ liệu lỗ hổng công khai, tại thời điểm viết bài (10/2026). Chúng tôi chưa tự đo các panel này. Bài không có số liệu benchmark nào, vì chúng tôi thà không đăng còn hơn mượn số chưa được kiểm chứng; chúng tôi dự định công bố benchmark đo trên các server giống hệt nhau trong thời gian tới. ZoPanel là sản phẩm của chúng tôi nên chúng tôi có lợi ích liên quan, và chúng tôi chỉ rõ chỗ ZoPanel yếu hơn.

Bốn panel trong một bảng

Nguồn: aaPanel trang tải về và bảng giá; CyberPanel hướng dẫn cài, README trên GitHub và bài về cách ly; HestiaCP getting started; ZoPanel yêu cầu hệ thống và bảng giá; danh mục KEV của CISA. Danh sách hệ điều hành thay đổi thường xuyên, hãy kiểm tra trước khi cài. Hướng dẫn cài và README của CyberPanel ghi các bản Ubuntu hơi khác nhau; chúng tôi dùng README vì mới hơn.

Cấu hình và hệ điều hành

Trên giấy tờ, aaPanel có mức sàn thấp nhất là 512 MB RAM và khuyến nghị Ubuntu 22.04. Danh sách hệ điều hành trong tài liệu của nó cũ hơn các panel còn lại, chưa có Ubuntu 24.04 hay Debian 13 tại thời điểm viết bài.

CyberPanel cần 1 GB RAM và 10 GB ổ đĩa. Cùng với aaPanel, đây là một trong hai panel ở đây hỗ trợ họ RHEL (AlmaLinux, Rocky, RHEL, CloudLinux), và README ghi nó chạy trên x86_64. Debian được xếp vào dạng hỗ trợ bên thứ ba, không đảm bảo tương thích.

HestiaCP bắt đầu từ 1 GB nếu bỏ SpamAssassin và ClamAV, khuyến nghị 4 GB với 4 nhân. Nó hỗ trợ các bản Debian và Ubuntu LTS mới nhất trên cả x86-64 và ARM64.

ZoPanel cần 1 GB để thử và từ 2 GB cho production, chỉ trên Ubuntu hoặc Debian. Nếu nhà cung cấp VPS của bạn chỉ có AlmaLinux hay Rocky Linux, CyberPanel hoặc aaPanel là lựa chọn phù hợp trong bốn panel này.

RAM tối thiểu không phải là sức chứa. Một server chứa được bao nhiêu website phụ thuộc vào chính các website và page cache nhiều hơn là vào mức RAM panel tự dùng. Số liệu chúng tôi tự đo cho ZoPanel có trong bài VPS 4 GB chạy được bao nhiêu website WordPress; chúng tôi chưa có số đo tương đương cho ba panel còn lại.

Web server: ranh giới thật sự

• CyberPanel xây trên OpenLiteSpeed. Nếu website dùng plugin LiteSpeed Cache, phần cache trang ở cấp server chỉ hoạt động trên server LiteSpeed, nên CyberPanel (hoặc tuỳ chọn OpenLiteSpeed của aaPanel) là lựa chọn tự nhiên.
• aaPanel linh hoạt nhất, chọn nginx, Apache hoặc OpenLiteSpeed cho từng website.
• HestiaCP mặc định dùng Apache phía sau proxy nginx nên .htaccess chạy ở mọi website, hoặc chỉ dùng nginx với PHP-FPM.
• ZoPanel dùng nginx kèm page cache riêng, và chuyển riêng từng website sang chế độ Apache khi cần .htaccess (tài liệu website).

Mail và DNS

Nếu bạn host email trên cùng server, HestiaCP, CyberPanel và ZoPanel có sẵn mail trong bản cài cơ bản. aaPanel thêm mail qua ứng dụng Mail Server trong kho. Về DNS, CyberPanel và ZoPanel dùng PowerDNS (ZoPanel có thêm DNSSEC), HestiaCP dùng BIND có hỗ trợ cụm, còn aaPanel dựa vào plugin trong App Store. Dù chọn panel nào, thư có vào inbox hay không phụ thuộc vào PTR, SPF, DKIM và DMARC nhiều hơn là vào panel; xem bài dựng mail server trên VPS.

Lịch sử bảo mật

Đây là chỗ bốn panel khác nhau nhiều nhất, và mọi thông tin đều công khai.

• CyberPanel: tháng 10/2024, các lỗi không cần đăng nhập trong bản 2.3.6 và 2.3.7 (CVE-2024-51567, CVE-2024-51378) cho kẻ tấn công quyền root; LeakIX đếm được khoảng 22.000 server lộ ra internet khi các cuộc tấn công bắt đầu, và nhiều server bị mã độc tống tiền PSAUX mã hoá (SecurityWeek). Cả hai CVE đều nằm trong danh mục KEV của CISA. Năm 2026, CVE-2026-67614, một khoá bí mật viết cứng trong Web Terminal trước bản 3.0.0, cho phép mở shell root mà không cần đăng nhập. Chi tiết: CyberPanel có an toàn không?
• aaPanel: lịch sử CVE đều đặn, trong đó có CVE-2026-29859 (tải file lên dẫn tới chạy mã, CVSS 9.8, bản 7.57.0) và các báo cáo chèn lệnh vào tháng 9 và 10/2026, không lỗi nào trong KEV. Chi tiết: aaPanel có an toàn không?
• HestiaCP: đã vá nhiều lỗi ở cấp root, gồm CVE-2026-43633, lỗi deserialization trong web terminal không cần đăng nhập khi terminal được bật (1.9.0 đến 1.9.4, vá ở 1.9.5), và CVE-2026-108390, cho phép bất kỳ người dùng panel nào có web domain chạy mã bằng root (vá ở 1.10.5). Không lỗi nào trong KEV.
• ZoPanel: chưa có CVE nào được công bố, nhưng panel mới hơn nhiều nên lịch sử kiểm tra công khai còn ngắn. Hãy hiểu đó là "ít được kiểm tra hơn", không phải "đã chứng minh an toàn".

Một mục trong KEV phản ánh việc bị khai thác thực tế, và điều đó còn phụ thuộc vào số server lộ ra internet. Điểm chung của mọi lỗi trên là mã chạy bằng root trong khi cổng quản trị mở ra internet; xem bài dòng thời gian sự cố bảo mật control panel. Dù dùng panel nào, hãy giới hạn cổng panel chỉ cho IP của bạn và bật 2FA.

Cách ly giữa các website

Nếu mọi website đều là của bạn, cách ly ít quan trọng hơn. Nếu bạn host cho khách, đây là yếu tố quan trọng nhất.

• aaPanel chạy mọi website bằng cùng user www, với open_basedir cho từng website. Chính tài liệu PHP nói open_basedir "không thể dựa vào khi cần bảo mật".
• CyberPanel mô tả việc tách user, quyền sở hữu và ACL, cộng với cgroups của OpenLiteSpeed để giới hạn CPU, RAM và tiến trình, đồng thời lưu ý kết quả "phụ thuộc vào cấu hình đúng". Một số CVE năm 2026, như CVE-2026-65917, là lỗi cách ly giữa các người dùng panel.
• HestiaCP cấp cho mỗi người dùng panel một tài khoản Linux và, từ 1.9.0, giới hạn CPU, RAM bằng cgroups; hãy kiểm tra giới hạn này đã áp cho PHP-FPM ở phiên bản bạn dùng chưa.
• ZoPanel cấp cho mỗi tài khoản user Linux, pool PHP-FPM và systemd slice riêng, giới hạn CPU, RAM và tiến trình cho cả PHP, cron và ứng dụng (tài liệu bảo mật).

Nên chọn panel nào?

Chuyển giữa các panel

Không panel nào trong bốn panel nhập được backup của panel khác. ZoPanel chỉ nhập backup cPanel và DirectAdmin. Chuyển từ aaPanel, CyberPanel hay HestiaCP nghĩa là chép file, dump database, đồng bộ thư qua IMAP và đổi DNS; bài thay thế CyberPanel hướng dẫn từng bước.

Kết luận

Khi so sánh aaPanel và CyberPanel, câu hỏi quyết định là web server (có dùng OpenLiteSpeed hay không) và bạn coi trọng lịch sử bảo mật đến đâu; HestiaCP là lựa chọn mã nguồn mở ổn định ở giữa, còn ZoPanel là panel được xây để cách ly các tài khoản với nhau và với chính panel. Cả bốn đều dùng được nếu bạn cập nhật đều và đóng cổng quản trị. Chúng tôi sẽ bổ sung số đo khi benchmark trên các server giống hệt nhau hoàn tất.

Để xem ZoPanel đặt cạnh panel bạn đang dùng, hãy cài thử lên một VPS dự phòng. Gói Free có 3 tài khoản hosting, 10 website và 10 database, không giới hạn thời gian.

Câu hỏi thường gặp

aaPanel có tốt hơn CyberPanel không?

Tuỳ việc. aaPanel có kho ứng dụng lớn hơn và cho chọn nginx, Apache hoặc OpenLiteSpeed theo từng website. CyberPanel xây quanh OpenLiteSpeed, hợp với người dùng LiteSpeed Cache, nhưng lịch sử bị khai thác tệ hơn. Nếu host cho khách, việc aaPanel cho mọi website dùng chung user www là mối lo lớn hơn.

aaPanel, CyberPanel hay HestiaCP nhẹ hơn?

Theo mức tối thiểu trong tài liệu, aaPanel (512 MB) thấp nhất, CyberPanel và HestiaCP cần 1 GB, và HestiaCP khuyến nghị 4 GB khi bật lọc spam, virus. Đây là số của hãng, không phải số đo. Chúng tôi chưa tự benchmark các panel này và sẽ công bố kết quả đo sau.

HestiaCP có an toàn hơn CyberPanel không?

HestiaCP cũng từng có lỗi nghiêm trọng, nhưng không lỗi nào nằm trong KEV của CISA, trong khi hai CVE của CyberPanel có trong đó sau đợt khai thác hàng loạt năm 2024. HestiaCP cũng đã chuyển giao diện web khỏi user admin từ bản 1.9.0. Dù sao, hãy cập nhật nhanh và không mở cổng panel ra công khai.

Có chuyển tự động từ aaPanel hay CyberPanel sang HestiaCP hoặc ZoPanel được không?

Không. Các panel này không có công cụ nhập trực tiếp của nhau. Bạn chuyển file, database và thư thủ công, rồi đổi DNS khi server mới đã chạy ổn. ZoPanel chỉ tự động nhập backup cPanel và DirectAdmin.

Panel nào miễn phí cho số website không giới hạn?

HestiaCP và CyberPanel (với OpenLiteSpeed) miễn phí, không giới hạn website, và bản Free của aaPanel cũng cho tạo website không giới hạn. Gói Free của ZoPanel dừng ở 10 website; bản Pro bỏ giới hạn với giá 49 USD/năm mỗi server.