CISA cảnh báo lỗ hổng PHP2Shell đang bị khai thác thực tế: Nguy cơ RCE nghiêm trọng

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) mới đây đã chính thức đưa hai lỗ hổng bảo mật trong PHP, được gọi chung là PHP2Shell, vào danh mục Lỗ hổng bị khai thác thực tế (Known Exploited Vulnerabilities – KEV). Động thái này diễn ra sau khi các chuyên gia bảo mật xác nhận các cuộc tấn công Remote Code Execution (RCE) đã bắt đầu nhắm vào các hệ thống honeypot.

Chi tiết về lỗ hổng PHP2Shell

Cả hai lỗ hổng này đều được đánh giá ở mức độ nghiêm trọng cao với điểm CVSS là 9.2, cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực:

• CVE-2026-109618: Lỗ hổng hỏng bộ nhớ (out-of-memory corruption).
• CVE-2026-109619: Lỗ hổng liên quan đến trạng thái yêu cầu nội bộ (stale internal request-state).

Adel Karimi, chuyên gia tại Perplexity, đã xác nhận việc khai thác thành công các lỗ hổng này trên các hệ thống thử nghiệm. Theo đó, kẻ tấn công có thể thực hiện các hành vi độc hại thông qua việc thao túng bộ nhớ và payload thực thi.

Khuyến nghị cập nhật

PHP Foundation đã phát hành các bản vá cho các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35 vào ngày 21/10/2026. Các tổ chức và quản trị viên hệ thống được khuyến cáo cần ưu tiên cập nhật ngay lập tức để tránh nguy cơ bị chiếm quyền kiểm soát server.

Với việc PHP hiện đang được sử dụng trên khoảng 70% các trang web toàn cầu, phạm vi ảnh hưởng của lỗ hổng này là cực kỳ lớn, tác động đến hàng loạt các nền tảng, CMS và phần mềm doanh nghiệp từ các nhà cung cấp lớn như WordPress, Drupal, Salesforce, Citrix, và nhiều hệ thống công nghiệp khác.

Cảnh báo thêm về lỗ hổng Brotli

Ngoài PHP2Shell, PHP Foundation cũng đã phát hành các bản vá cho lỗ hổng CVE-2026-111497 trong thư viện giải mã Brotli. Lỗ hổng này (đôi khi được gọi là Broccoli2Shell hoặc HTTP2Shell) cho phép kẻ tấn công thực hiện leo thang đặc quyền và RCE thông qua việc nén dữ liệu HTTP phản hồi. Mặc dù tính năng này thường bị vô hiệu hóa mặc định trong cURL, nhưng các ứng dụng tùy chỉnh có thể vô tình kích hoạt nó, tạo ra rủi ro bảo mật đáng kể.

Nguồn tham khảo: The Hacker News