aaPanel có an toàn không? Đánh giá bảo mật thẳng thắn (2026)

aaPanel đủ an toàn cho server cá nhân hoặc doanh nghiệp nhỏ nếu bạn gia cố đúng cách: đóng cổng quản trị với mọi IP trừ của bạn, bật xác thực hai lớp, cập nhật nhanh và giữ backup ngoài server. Nhưng ở trạng thái mặc định, aaPanel có những điểm yếu mang tính cấu trúc. Tiến trình panel chạy bằng root, mọi website chạy chung một user www, và lỗ hổng mới vẫn tiếp tục được công bố, gồm các báo cáo lỗi chèn lệnh trong tháng 9 và 10/2026. Nếu bạn làm hosting cho nhiều khách hàng, những giới hạn này quan trọng hơn danh sách tính năng.

Bài đánh giá này chỉ dùng những gì chúng tôi kiểm chứng được trong tài liệu của aaPanel, kho mã GitHub và NVD, tại thời điểm viết bài (tháng 10/2026). Chúng tôi làm một panel cạnh tranh là ZoPanel, nên đã cố gắng nói rõ những chỗ aaPanel làm tốt.

aaPanel là gì?

aaPanel là phiên bản quốc tế của BT Panel (宝塔面板, bt.cn, đọc theo Hán Việt là "Bảo Tháp"), một trong những panel quản lý server phổ biến nhất ở Trung Quốc. Trong code vẫn còn tên BT: tiến trình panel là BT-Panel, công cụ dòng lệnh là bt. Theo trang giới thiệu của aaPanel, dự án đã ra hơn 200 phiên bản từ năm 2017 và được cài trên hơn 3.000.000 server. Có bản miễn phí và bản Pro trả phí với 14 ngày dùng thử.

Lý do nhiều người chọn aaPanel rất rõ: một script cài đặt dựng sẵn nginx hoặc Apache, PHP, MySQL, trình quản lý file, cron, Docker và kho ứng dụng trong giao diện web dễ dùng. Nhưng độ rộng đó cũng là bề mặt tấn công: trình quản lý file, web terminal, công cụ database và hệ thống plugin, tất cả đều đi qua cổng web của panel.

Lịch sử bảo mật của aaPanel

Dưới đây là các lỗ hổng của aaPanel và BT Panel mà chúng tôi tìm thấy trên NVD hoặc trong cơ sở dữ liệu lỗ hổng quốc gia. Phiên bản ghi theo từng hồ sơ.

Công bố	CVE	Phiên bản	Loại lỗi	Cần đăng nhập?
06/2020	CVE-2020-14421, CVE-2020-14950	đến 6.6.6	Thực thi lệnh qua cron và kho phần mềm	Có
08/2020	CNNVD-202008-1141 (bài báo cáo)	BT Panel Linux 7.4.2 (bản tiếng Trung)	Truy cập phpMyAdmin không cần xác thực	Không
08/2021	CVE-2021-37840	đến 6.8.12	Chiếm phiên WebSocket của web terminal (CSWSH)	Nạn nhân phải mở một trang độc
03/2022	CVE-2022-26252	6.8.21	Duyệt thư mục làm lộ khoá SSH riêng của root	Có (CVSS PR:L)
05/2025	CVE-2024-42922	7.0.7	Chèn lệnh hệ điều hành (CVSS 6.5)	Không (CVSS PR:N)
03/2026	CVE-2026-29859, CVE-2026-29858	7.57.0	Upload file dẫn đến thực thi code (CVSS 9.8); đọc file cục bộ (LFI)	Không (CVSS PR:N)
09/2026	CVE-2026-101007, -101008, -101009	BaoTa đến 11.8.0 (bản tiếng Trung)	Chèn lệnh trong backup database, ghép file và giải nén	Có, quyền admin (CVSS PR:H)
10/2026	CVE-2026-113506	aaPanel đến 8.25.0	Chèn lệnh trong trình quản lý file	Có (theo nhà phát triển và CVSS PR:L)
10/2026	CVE-2026-113507	aaPanel đến 8.25.0	Lấy IP client từ header X-Real-Ip có thể giả mạo	Không

Để công bằng, cần thêm vài bối cảnh:

• Chưa có mục nào của aaPanel trong danh mục lỗ hổng đang bị khai thác (KEV) của CISA tính đến 20/10/2026. Trong khi đó cPanel, CyberPanel và CWP đều có mặt (xem dòng thời gian các vụ panel hosting bị hack).
• Nhiều lỗi cần đăng nhập, nên rủi ro giảm hẳn nếu chỉ mình bạn đăng nhập được. Nhưng ngoại lệ rất đáng chú ý: lỗi upload file tháng 3/2026 được chấm là không cần đăng nhập, và đó là lý do không nên để cổng panel công khai.
• Phản hồi của nhà phát triển không đồng đều. Với CVE-2026-113507, hồ sơ NVD trích lời nhà phát triển rằng lỗi "đã được sửa". Với các báo cáo về BaoTa tháng 9/2026, hồ sơ ghi nhà phát triển "không phản hồi". Với CVE-2026-113506, NVD chưa ghi phiên bản đã sửa tại thời điểm viết bài.
• Kênh báo lỗi. File SECURITY.md trong kho mã yêu cầu gửi báo cáo về một địa chỉ email QQ. Chúng tôi không tìm thấy trang thông báo bảo mật công khai nào.

Bức tranh giống như cả ngành: lỗi chèn lệnh trong code chạy bằng root, nên một lỗi cần đăng nhập vẫn thường trở thành quyền root trên server.

Các tính năng bảo mật có sẵn của aaPanel

aaPanel có nhiều thiết lập bảo mật hơn khá nhiều panel miễn phí khác. Theo tài liệu Settings:

Tính năng	Tác dụng	Có nên bật?
Security Entrance	Chỉ đăng nhập được tại một đường dẫn ngẫu nhiên, ví dụ /021e887b	Giữ lại, nhưng đây là che giấu, không phải xác thực
BasicAuth	Thêm một lớp đăng nhập HTTP trước panel	Có, giúp máy quét không chạm được tới code panel
Google Authenticator	Mã TOTP khi đăng nhập	Có
Authorized IP	Chỉ các IP trong danh sách mới vào được panel	Có, kèm rule tường lửa (xem bên dưới)
Gắn domain	Panel chỉ trả lời trên một domain; vào bằng IP sẽ nhận 403	Hữu ích trước các đợt quét hàng loạt
Panel SSL	HTTPS cho panel (mặc định tự ký, có thể dùng Let's Encrypt)	Có
Mật khẩu mạnh, hết hạn mật khẩu, timeout	Quy tắc mật khẩu và tự đăng xuất	Có
Cảnh báo (Alarm)	Báo đăng nhập panel và SSH qua email, Telegram, Discord, webhook và kênh khác	Có

Trang Security còn có firewall hệ thống với rule theo cổng, IP và khu vực, quản lý SSH, chống dò mật khẩu cho panel và SSH, giới hạn quyền dùng trình biên dịch, module Anti Intrusion và System Hardening. Đó là bộ công cụ khá đầy đủ. Vấn đề là bạn phải tự bật và giữ chúng luôn bật.

Có một chi tiết quan trọng: danh sách IP được phép bên trong panel phụ thuộc vào việc panel đọc đúng IP của client. CVE-2026-113507 chính là lỗi đọc IP client, và HestiaCP cũng từng có lỗi tương tự với CF-Connecting-IP. Rule tường lửa ở tầng kernel không có điểm yếu đó, nên hãy dùng cả hai.

Kiến trúc của aaPanel hoạt động thế nào?

Panel chạy bằng root

Trình cài đặt aaPanel từ chối chạy nếu không phải root, và script dịch vụ init.sh khởi động tiến trình BT-Panel trực tiếp, không chuyển sang user khác. Vì vậy giao diện web, trình quản lý file và terminal đều chạy với quyền root. Cách này tiện, vì panel làm được mọi thứ, và cũng là lý do một lỗi như CVE-2022-26252 đọc được khoá SSH của root. Bài vì sao control panel không nên chạy bằng root giải thích cách làm khác.

Mọi website dùng chung user www

Khi aaPanel tạo website, code của nó (class/panelSite.py) tạo thư mục với chmod -R 755 và chown -R www:www, rồi ghi file .user.ini đặt open_basedir về thư mục của site đó và khoá file lại. Việc cách ly giữa các website dựa vào open_basedir của PHP.

Chính tài liệu PHP nói thẳng: open_basedir "chỉ là một lưới an toàn bổ sung, hoàn toàn không đầy đủ, nên không thể dựa vào khi cần bảo mật". Nó cũng không chặn kết nối tới Unix socket. Trên thực tế, nếu một website bị chiếm và kẻ tấn công vượt qua được open_basedir, toàn bộ file của các website khác đều thuộc cùng một user.

aaPanel đã bổ sung tài khoản con (sub-account) với gói hosting. Trang tổng quan mô tả hạn mức số website, database và dung lượng đĩa, nhưng không nói đến Linux user riêng hay giới hạn CPU, RAM theo từng user, nên hãy tự kiểm tra trên server trước khi dựa vào nó để cách ly khách hàng.

Script cài đặt bỏ qua kiểm tra chứng chỉ

Tại thời điểm viết bài, lệnh cài trên trang tải về tải script bằng curl -k hoặc wget --no-check-certificate, tức là tắt kiểm tra chứng chỉ TLS. Các script cũ trên cùng trang còn dùng http:// thường. Một script chạy bằng root nên được tải qua HTTPS có xác minh, vì vậy hãy tự tải về, đọc qua rồi mới chạy.

Cách gia cố aaPanel

Nếu tiếp tục dùng aaPanel, hãy làm theo thứ tự sau:

1. Cập nhật ngay và cập nhật đều. Bấm Update trên trang chủ panel, hoặc chạy bt 16 qua SSH. Theo dõi diễn đàn aaPanel để biết bản mới.

2. Đóng cổng panel với internet. Chỉ cho phép IP của bạn ở tường lửa:

   sudo ufw allow from 203.0.113.7 to any port 7800 proto tcp   # thay bằng cổng panel của bạn
   sudo ufw deny 7800/tcp
   

   Hoặc dùng SSH tunnel: ssh -L 7800:127.0.0.1:7800 root@server, rồi mở https://127.0.0.1:7800 trên máy bạn.

3. Bật Google Authenticator, BasicAuth và Authorized IP, giữ Security Entrance, đổi username và mật khẩu mặc định.

4. Tắt những gì không dùng: web terminal, plugin thừa, phpMyAdmin công khai, API.

5. Kiểm tra disable_functions của PHP ở mọi phiên bản PHP, để website bị hack khó chạy lệnh shell.

6. Backup ra ngoài server. Thư mục backup mặc định của aaPanel là /www/backup trên cùng ổ đĩa. Hãy chép backup sang S3 hoặc server khác với thông tin đăng nhập riêng.

7. Bật cảnh báo đăng nhập cho panel và SSH, gửi về Telegram hoặc email.

8. Định kỳ kiểm tra dấu hiệu xâm nhập: user UID 0 thừa (awk -F: '$3==0' /etc/passwd), cron lạ, tiến trình lạ và file PHP trong thư mục upload.

Các bước này áp dụng cho mọi panel. Phần bảo mật phía server có trong bài bảo mật VPS Ubuntu.

Khi nào nên cân nhắc panel khác?

aaPanel đã gia cố là lựa chọn hợp lý cho website của chính bạn trên một server, khi chỉ có bạn đăng nhập. Hãy cân nhắc panel khác nếu:

• bạn làm hosting cho khách, và một WordPress bị hack của khách này không được phép chạm tới file của khách khác;
• bạn không thể giữ cổng panel ở chế độ riêng tư, ví dụ vì khách đăng nhập từ khắp nơi;
• bạn cần giới hạn CPU, RAM, số tiến trình theo từng tài khoản, để một website không làm chậm cả server;
• bạn cần nhật ký kiểm tra cho khách hàng hoặc yêu cầu tuân thủ, hoặc cần cài đặt và cập nhật có xác minh chữ ký.

Bài lựa chọn thay thế aaPanel so sánh HestiaCP, CloudPanel, cPanel và ZoPanel, kèm hướng dẫn chuyển website. Trong ZoPanel, giao diện web chạy bằng user không có đặc quyền, còn agent root chỉ nhận một danh sách hành động cố định; mỗi tài khoản là một Linux user riêng với pool PHP-FPM riêng và systemd slice có giới hạn CPU, RAM, số tiến trình; bản cài và bản cập nhật đều được kiểm tra chữ ký. Chi tiết có ở trang tính năng bảo mật và tài liệu bảo mật. ZoPanel còn non trẻ, hệ sinh thái nhỏ hơn và ít ứng dụng một chạm hơn aaPanel, chỉ chạy trên Ubuntu và Debian, và không nhập trực tiếp được backup của aaPanel. ZoPanel cũng sẽ có lỗi; thiết kế của nó nhằm giữ cho mỗi lỗi nhỏ hơn.

Kết luận

aaPanel không mất an toàn tự bản chất, và nó cho bạn khá nhiều công cụ đúng. Rủi ro đến từ panel chạy bằng root, user www dùng chung cho mọi website và dòng CVE đều đặn, nên aaPanel an toàn đến đâu phụ thuộc vào việc bạn đóng cổng, bật 2FA, cập nhật nhanh và giữ backup ở nơi khác. Với một server cá nhân, việc đó trong tầm tay. Với hosting cho khách hàng, cách ly theo từng tài khoản đáng giá hơn bất kỳ tính năng nào.

Nếu muốn so sánh trên một VPS thử nghiệm, gói Free của ZoPanel cho 3 tài khoản hosting, 10 website và 10 database, không giới hạn thời gian.

Câu hỏi thường gặp

aaPanel có an toàn để dùng năm 2026 không?

Có thể, nếu bạn cẩn thận. aaPanel có các lỗ hổng đã biết, gồm lỗi upload file được chấm là không cần đăng nhập (tháng 3/2026) và các báo cáo lỗi chèn lệnh mới tháng 10/2026, nhưng chưa lỗi nào nằm trong danh sách bị khai thác của CISA. Hãy cập nhật thường xuyên, chỉ cho IP của bạn vào cổng panel, bật Google Authenticator và BasicAuth.

aaPanel có phải phần mềm Trung Quốc không?

Đúng. aaPanel là phiên bản quốc tế của BT Panel (宝塔面板) của bt.cn ở Trung Quốc, và code vẫn dùng tên BT. Bản thân xuất xứ không làm phần mềm kém an toàn; hãy đánh giá dựa trên code, cách cập nhật và cách nhà phát triển xử lý báo cáo lỗ hổng.

aaPanel có chạy bằng root không?

Có. Script dịch vụ khởi động tiến trình BT-Panel bằng root mà không hạ quyền, nên giao diện web, trình quản lý file và terminal có toàn quyền trên server. Đó là lý do lỗi của panel thường dẫn tới quyền root.

Một website bị hack có lây sang website khác trên aaPanel không?

Có thể. Mọi website chạy chung user www và được ngăn cách chủ yếu bằng open_basedir của PHP, thứ mà tài liệu PHP nói là không thể dựa vào cho bảo mật. Hãy đặt disable_functions chặt và quét website định kỳ; nếu làm hosting cho khách, hãy dùng panel có Linux user riêng cho từng tài khoản.

Security entrance của aaPanel là gì?

Đó là một đường dẫn ngẫu nhiên, ví dụ /021e887b, phải có trong URL đăng nhập. Nó giấu trang đăng nhập khỏi các máy quét đơn giản, nhưng không phải mật khẩu và dễ lộ qua lịch sử trình duyệt hoặc log. Hãy dùng nó cùng 2FA, BasicAuth và rule tường lửa cho cổng panel.