# So sánh aaPanel, CyberPanel, HestiaCP và ZoPanel năm 2026

> So sánh aaPanel CyberPanel, HestiaCP và ZoPanel về cấu hình tối thiểu, hệ điều hành, web server, mail, DNS, bảo mật, cách ly và giá, theo tài liệu hãng.

Source: https://zopanel.net/vi/blog/aapanel-vs-cyberpanel-vs-hestiacp  
Updated: 2026-10-21

## Ý chính

- aaPanel có mức RAM tối thiểu thấp nhất và kho ứng dụng lớn nhất, CyberPanel là panel của OpenLiteSpeed, còn HestiaCP là panel mã nguồn mở truyền thống có mail và DNS.
- CyberPanel có lịch sử bị khai thác tệ nhất trong bốn panel, với hai CVE nằm trong danh mục KEV của CISA sau làn sóng mã độc tống tiền năm 2024.
- Khác biệt lớn nhất là cách ly: aaPanel chạy mọi website bằng user www, còn HestiaCP và ZoPanel cấp cho mỗi người dùng một tài khoản Linux.
- Bài so sánh chỉ dựa trên tài liệu của hãng; chúng tôi chưa tự đo hiệu năng các panel này.

Nói ngắn gọn: **aaPanel** hợp với người mới muốn kho ứng dụng cài một chạm lớn trên VPS nhỏ, **CyberPanel** hợp với website WordPress xây quanh OpenLiteSpeed và plugin LiteSpeed Cache, **HestiaCP** hợp với quản trị viên muốn panel miễn phí, truyền thống, có mail và DNS, còn **ZoPanel** hợp với người host website cho người khác và cần cách ly từng tài khoản. aaPanel và CyberPanel là cặp hay được so sánh nhất, và khác biệt lớn nhất giữa chúng không phải tốc độ mà là web server và lịch sử bảo mật.

Bài so sánh này dùng tài liệu chính thức của từng hãng và các cơ sở dữ liệu lỗ hổng công khai, tại thời điểm viết bài (10/2026). **Chúng tôi chưa tự đo các panel này.** Bài không có số liệu benchmark nào, vì chúng tôi thà không đăng còn hơn mượn số chưa được kiểm chứng; chúng tôi dự định công bố benchmark đo trên các server giống hệt nhau trong thời gian tới. ZoPanel là sản phẩm của chúng tôi nên chúng tôi có lợi ích liên quan, và chúng tôi chỉ rõ chỗ ZoPanel yếu hơn.

## Bốn panel trong một bảng

| | aaPanel | CyberPanel | HestiaCP | ZoPanel |
| --- | --- | --- | --- | --- |
| Giấy phép | Freemium (bản Free và Pro) | Mã nguồn mở (GPL-3.0) | Mã nguồn mở (GPLv3) | Thương mại, có gói Free |
| Giá (10/2026) | Free; Pro 28,80 USD/tháng, 198 USD/năm hoặc 699 USD trọn đời | Miễn phí với OpenLiteSpeed; LiteSpeed Enterprise miễn phí 1 domain, nhiều hơn phải trả phí | Miễn phí | Free (3 tài khoản, 10 website); Pro 49 USD/năm hoặc 199 USD trọn đời, theo server |
| RAM tối thiểu (theo tài liệu) | 512 MB; khuyến nghị 1 GB | 1024 MB, 10 GB ổ đĩa | 1 GB nếu bỏ SpamAssassin/ClamAV; khuyến nghị 4 GB | 1 GB để thử; từ 2 GB cho production |
| Hệ điều hành (theo tài liệu) | Ubuntu 18.04-22.04, Debian 10-12, CentOS 7, Alma 8-9, Rocky 8 | Ubuntu 22.04/24.04, Alma 8-10, Rocky 8/9, RHEL 8/9, CloudLinux 8; Debian chỉ ở dạng bên thứ ba | Debian 12/13, Ubuntu 22.04/24.04/26.04 | Ubuntu 22.04/24.04/26.04, Debian 12/13 |
| Kiến trúc CPU | Kiểm tra theo từng bản | x86-64 | x86-64, ARM64 | x86-64, ARM64 |
| Web server | nginx, Apache hoặc OpenLiteSpeed, theo từng website | OpenLiteSpeed hoặc LiteSpeed Enterprise | Apache sau nginx, hoặc nginx với PHP-FPM | nginx; Apache theo từng website cho `.htaccess` |
| Mail | Ứng dụng Mail Server trong App Store | Có sẵn | Exim, Dovecot, SpamAssassin, ClamAV, Roundcube | Postfix, Dovecot, Rspamd, webmail |
| DNS | Plugin trong App Store | PowerDNS | BIND | PowerDNS có DNSSEC |
| Tiến trình panel | Chạy bằng root | Chạy với quyền root | Giao diện web chạy bằng `hestiaweb`, thao tác qua sudo (từ 1.9.0) | Giao diện web không có root; agent root với danh sách hành động cố định |
| Cách ly website | Mọi website dùng user `www`, `open_basedir` theo website | Tách user và quyền sở hữu theo tài liệu hãng; giới hạn bằng cgroups của OpenLiteSpeed | Mỗi người dùng panel là một user Linux; giới hạn CPU/RAM bằng cgroups từ 1.9.0 | User Linux, pool PHP-FPM và systemd slice riêng cho mỗi tài khoản |
| Trong danh mục KEV của CISA | Không | Có, 2 CVE (2024) | Không | Không |

Nguồn: aaPanel [trang tải về](https://www.aapanel.com/new/download.html) và [bảng giá](https://www.aapanel.com/new/pricing.html); CyberPanel [hướng dẫn cài](https://cyberpanel.net/KnowledgeBase/home/install-cyberpanel/), [README trên GitHub](https://github.com/usmannasir/cyberpanel) và [bài về cách ly](https://cyberpanel.net/blog/isolate-website-directory); HestiaCP [getting started](https://hestiacp.com/docs/introduction/getting-started); ZoPanel [yêu cầu hệ thống](/vi/docs/requirements) và [bảng giá](/vi/pricing); [danh mục KEV của CISA](https://www.cisa.gov/known-exploited-vulnerabilities-catalog). Danh sách hệ điều hành thay đổi thường xuyên, hãy kiểm tra trước khi cài. Hướng dẫn cài và README của CyberPanel ghi các bản Ubuntu hơi khác nhau; chúng tôi dùng README vì mới hơn.

## Cấu hình và hệ điều hành

Trên giấy tờ, **aaPanel** có mức sàn thấp nhất là 512 MB RAM và khuyến nghị Ubuntu 22.04. Danh sách hệ điều hành trong tài liệu của nó cũ hơn các panel còn lại, chưa có Ubuntu 24.04 hay Debian 13 tại thời điểm viết bài.

**CyberPanel** cần 1 GB RAM và 10 GB ổ đĩa. Cùng với aaPanel, đây là một trong hai panel ở đây hỗ trợ họ RHEL (AlmaLinux, Rocky, RHEL, CloudLinux), và README ghi nó chạy trên x86_64. Debian được xếp vào dạng hỗ trợ bên thứ ba, không đảm bảo tương thích.

**HestiaCP** bắt đầu từ 1 GB nếu bỏ SpamAssassin và ClamAV, khuyến nghị 4 GB với 4 nhân. Nó hỗ trợ các bản Debian và Ubuntu LTS mới nhất trên cả x86-64 và ARM64.

**ZoPanel** cần 1 GB để thử và từ 2 GB cho production, chỉ trên Ubuntu hoặc Debian. Nếu nhà cung cấp VPS của bạn chỉ có AlmaLinux hay Rocky Linux, CyberPanel hoặc aaPanel là lựa chọn phù hợp trong bốn panel này.

RAM tối thiểu không phải là sức chứa. Một server chứa được bao nhiêu website phụ thuộc vào chính các website và page cache nhiều hơn là vào mức RAM panel tự dùng. Số liệu chúng tôi tự đo cho ZoPanel có trong bài [VPS 4 GB chạy được bao nhiêu website WordPress](/vi/blog/how-many-wordpress-sites-4gb-vps); chúng tôi chưa có số đo tương đương cho ba panel còn lại.

## Web server: ranh giới thật sự

- **CyberPanel** xây trên OpenLiteSpeed. Nếu website dùng plugin LiteSpeed Cache, phần cache trang ở cấp server chỉ hoạt động trên server LiteSpeed, nên CyberPanel (hoặc tuỳ chọn OpenLiteSpeed của aaPanel) là lựa chọn tự nhiên.
- **aaPanel** linh hoạt nhất, chọn nginx, Apache hoặc OpenLiteSpeed cho từng website.
- **HestiaCP** mặc định dùng Apache phía sau proxy nginx nên `.htaccess` chạy ở mọi website, hoặc chỉ dùng nginx với PHP-FPM.
- **ZoPanel** dùng nginx kèm page cache riêng, và chuyển riêng từng website sang chế độ Apache khi cần `.htaccess` ([tài liệu website](/vi/docs/hosting)).

## Mail và DNS

Nếu bạn host email trên cùng server, HestiaCP, CyberPanel và ZoPanel có sẵn mail trong bản cài cơ bản. aaPanel thêm mail qua ứng dụng Mail Server trong kho. Về DNS, CyberPanel và ZoPanel dùng PowerDNS (ZoPanel có thêm DNSSEC), HestiaCP dùng BIND có hỗ trợ cụm, còn aaPanel dựa vào plugin trong App Store. Dù chọn panel nào, thư có vào inbox hay không phụ thuộc vào PTR, SPF, DKIM và DMARC nhiều hơn là vào panel; xem bài [dựng mail server trên VPS](/vi/blog/email-server-on-vps).

## Lịch sử bảo mật

Đây là chỗ bốn panel khác nhau nhiều nhất, và mọi thông tin đều công khai.

- **CyberPanel:** tháng 10/2024, các lỗi không cần đăng nhập trong bản 2.3.6 và 2.3.7 ([CVE-2024-51567](https://nvd.nist.gov/vuln/detail/CVE-2024-51567), [CVE-2024-51378](https://nvd.nist.gov/vuln/detail/CVE-2024-51378)) cho kẻ tấn công quyền root; LeakIX đếm được khoảng 22.000 server lộ ra internet khi các cuộc tấn công bắt đầu, và nhiều server bị mã độc tống tiền PSAUX mã hoá ([SecurityWeek](https://www.securityweek.com/cyberpanel-vulnerabilities-exploited-in-ransomware-attacks-shortly-after-disclosure/)). Cả hai CVE đều nằm trong danh mục KEV của CISA. Năm 2026, [CVE-2026-67614](https://nvd.nist.gov/vuln/detail/CVE-2026-67614), một khoá bí mật viết cứng trong Web Terminal trước bản 3.0.0, cho phép mở shell root mà không cần đăng nhập. Chi tiết: [CyberPanel có an toàn không?](/vi/blog/is-cyberpanel-safe)
- **aaPanel:** lịch sử CVE đều đặn, trong đó có [CVE-2026-29859](https://nvd.nist.gov/vuln/detail/CVE-2026-29859) (tải file lên dẫn tới chạy mã, CVSS 9.8, bản 7.57.0) và các báo cáo chèn lệnh vào tháng 9 và 10/2026, không lỗi nào trong KEV. Chi tiết: [aaPanel có an toàn không?](/vi/blog/is-aapanel-safe)
- **HestiaCP:** đã vá nhiều lỗi ở cấp root, gồm [CVE-2026-43633](https://nvd.nist.gov/vuln/detail/CVE-2026-43633), lỗi deserialization trong web terminal không cần đăng nhập khi terminal được bật (1.9.0 đến 1.9.4, vá ở 1.9.5), và [CVE-2026-108390](https://nvd.nist.gov/vuln/detail/CVE-2026-108390), cho phép bất kỳ người dùng panel nào có web domain chạy mã bằng root (vá ở 1.10.5). Không lỗi nào trong KEV.
- **ZoPanel:** chưa có CVE nào được công bố, nhưng panel mới hơn nhiều nên lịch sử kiểm tra công khai còn ngắn. Hãy hiểu đó là "ít được kiểm tra hơn", không phải "đã chứng minh an toàn".

Một mục trong KEV phản ánh việc bị khai thác thực tế, và điều đó còn phụ thuộc vào số server lộ ra internet. Điểm chung của mọi lỗi trên là mã chạy bằng root trong khi cổng quản trị mở ra internet; xem bài [dòng thời gian sự cố bảo mật control panel](/vi/blog/hosting-panel-security-incidents). Dù dùng panel nào, hãy giới hạn cổng panel chỉ cho IP của bạn và bật 2FA.

## Cách ly giữa các website

Nếu mọi website đều là của bạn, cách ly ít quan trọng hơn. Nếu bạn host cho khách, đây là yếu tố quan trọng nhất.

- **aaPanel** chạy mọi website bằng cùng user `www`, với `open_basedir` cho từng website. Chính [tài liệu PHP](https://www.php.net/manual/en/ini.core.php) nói `open_basedir` "không thể dựa vào khi cần bảo mật".
- **CyberPanel** mô tả việc tách user, quyền sở hữu và ACL, cộng với cgroups của OpenLiteSpeed để giới hạn CPU, RAM và tiến trình, đồng thời lưu ý kết quả "phụ thuộc vào cấu hình đúng". Một số CVE năm 2026, như [CVE-2026-65917](https://nvd.nist.gov/vuln/detail/CVE-2026-65917), là lỗi cách ly giữa các người dùng panel.
- **HestiaCP** cấp cho mỗi người dùng panel một tài khoản Linux và, từ 1.9.0, giới hạn CPU, RAM bằng cgroups; hãy kiểm tra giới hạn này đã áp cho PHP-FPM ở phiên bản bạn dùng chưa.
- **ZoPanel** cấp cho mỗi tài khoản user Linux, pool PHP-FPM và systemd slice riêng, giới hạn CPU, RAM và tiến trình cho cả PHP, cron và ứng dụng ([tài liệu bảo mật](/vi/docs/security)).

## Nên chọn panel nào?

| Nếu bạn… | Chọn |
| --- | --- |
| Chạy website cá nhân trên VPS 1 GB và muốn nhiều ứng dụng một chạm | aaPanel, đã gia cố |
| Chạy WordPress với LiteSpeed Cache, hoặc cần AlmaLinux, Rocky | CyberPanel, luôn ở bản 3.0.x mới nhất |
| Muốn panel miễn phí, truyền thống, có mail và DNS trên Debian hoặc Ubuntu | HestiaCP |
| Host cho khách, cần giới hạn theo tài khoản, WAF, Git deploy và ứng dụng Docker | ZoPanel |
| Cần hơn 10 website miễn phí, không mua license | HestiaCP, aaPanel hoặc CyberPanel, không phải gói Free của ZoPanel |

## Chuyển giữa các panel

Không panel nào trong bốn panel nhập được backup của panel khác. ZoPanel chỉ nhập backup cPanel và DirectAdmin. Chuyển từ aaPanel, CyberPanel hay HestiaCP nghĩa là chép file, dump database, đồng bộ thư qua IMAP và đổi DNS; bài [thay thế CyberPanel](/vi/blog/cyberpanel-alternative) hướng dẫn từng bước.

## Kết luận

Khi so sánh aaPanel và CyberPanel, câu hỏi quyết định là web server (có dùng OpenLiteSpeed hay không) và bạn coi trọng lịch sử bảo mật đến đâu; HestiaCP là lựa chọn mã nguồn mở ổn định ở giữa, còn ZoPanel là panel được xây để cách ly các tài khoản với nhau và với chính panel. Cả bốn đều dùng được nếu bạn cập nhật đều và đóng cổng quản trị. Chúng tôi sẽ bổ sung số đo khi benchmark trên các server giống hệt nhau hoàn tất.

Để xem ZoPanel đặt cạnh panel bạn đang dùng, hãy cài thử lên một VPS dự phòng. [Gói Free](/vi/pricing) có 3 tài khoản hosting, 10 website và 10 database, không giới hạn thời gian.

## Câu hỏi thường gặp

### aaPanel có tốt hơn CyberPanel không?

Tuỳ việc. aaPanel có kho ứng dụng lớn hơn và cho chọn nginx, Apache hoặc OpenLiteSpeed theo từng website. CyberPanel xây quanh OpenLiteSpeed, hợp với người dùng LiteSpeed Cache, nhưng lịch sử bị khai thác tệ hơn. Nếu host cho khách, việc aaPanel cho mọi website dùng chung user `www` là mối lo lớn hơn.

### aaPanel, CyberPanel hay HestiaCP nhẹ hơn?

Theo mức tối thiểu trong tài liệu, aaPanel (512 MB) thấp nhất, CyberPanel và HestiaCP cần 1 GB, và HestiaCP khuyến nghị 4 GB khi bật lọc spam, virus. Đây là số của hãng, không phải số đo. Chúng tôi chưa tự benchmark các panel này và sẽ công bố kết quả đo sau.

### HestiaCP có an toàn hơn CyberPanel không?

HestiaCP cũng từng có lỗi nghiêm trọng, nhưng không lỗi nào nằm trong KEV của CISA, trong khi hai CVE của CyberPanel có trong đó sau đợt khai thác hàng loạt năm 2024. HestiaCP cũng đã chuyển giao diện web khỏi user admin từ bản 1.9.0. Dù sao, hãy cập nhật nhanh và không mở cổng panel ra công khai.

### Có chuyển tự động từ aaPanel hay CyberPanel sang HestiaCP hoặc ZoPanel được không?

Không. Các panel này không có công cụ nhập trực tiếp của nhau. Bạn chuyển file, database và thư thủ công, rồi đổi DNS khi server mới đã chạy ổn. ZoPanel chỉ tự động nhập backup cPanel và DirectAdmin.

### Panel nào miễn phí cho số website không giới hạn?

HestiaCP và CyberPanel (với OpenLiteSpeed) miễn phí, không giới hạn website, và bản Free của aaPanel cũng cho tạo website không giới hạn. Gói Free của ZoPanel dừng ở 10 website; bản Pro bỏ giới hạn với giá 49 USD/năm mỗi server.