Lỗ hổng PHP2Shell bị khai thác nhắm vào chính phủ: Dấu hiệu tấn công bằng AI và chiến dịch từ Lazarus

Các nhà nghiên cứu an ninh mạng vừa phát hiện xu hướng đáng báo động trong các cuộc tấn công khai thác lỗ hổng PHP2Shell (CVE-2026-109618 và CVE-2026-109619). Kẻ tấn công không chỉ thực thi mã từ xa (RCE) mà còn bắt đầu tích hợp các nền tảng AI để tự động hóa quá trình hậu khai thác (post-exploitation).

Tấn công có sự hỗ trợ của AI

Theo Unit 42 của Palo Alto Networks, một thực thể chính phủ tại châu Âu đã trở thành mục tiêu. Chỉ trong vòng hai giờ sau khi bị xâm nhập, kẻ tấn công đã truy cập được các hash mật khẩu và bí mật xác thực đa yếu tố (MFA). Đáng chú ý, các lệnh thực thi được định dạng bằng các thẻ phân tách như ==SHELLUSER== hay ==PASSWD==, cho phép mô hình AI dễ dàng phân tích và đưa ra các quyết định tấn công tiếp theo.

Kẻ tấn công đã thực hiện các hành vi trinh sát Active Directory (AD) thông qua truy vấn LDAP ẩn danh, quét các tài khoản quản trị viên và tìm kiếm các cấu hình DNS/AD để leo thang đặc quyền.

Chiến dịch từ nhóm Lazarus

Trong một diễn biến khác, CYFIRMA cảnh báo về một chiến dịch quy mô lớn nhắm vào 216 máy chủ tại nhiều quốc gia, bao gồm Nhật Bản, Hàn Quốc, Úc và các nước Đông Nam Á. Chiến dịch này được cho là có liên quan đến nhóm hacker Lazarus (Triều Tiên). Các đối tượng sử dụng kênh I2P để phối hợp, chia sẻ danh sách mục tiêu và hạ tầng khai thác. Các dấu hiệu nhận dạng ngôn ngữ (Munhwaŏ) và phương thức hoạt động cho thấy sự tương đồng với các chiến dịch tài chính và đánh cắp tiền điện tử đặc trưng của nhóm này.

Khuyến nghị kỹ thuật và phòng thủ

Các lỗ hổng PHP2Shell cho phép RCE trên các cấu hình PHP mặc định. Cloudflare và các đơn vị bảo mật khác ghi nhận hàng triệu nỗ lực quét lỗ hổng này trên toàn cầu. Đối với các đội ngũ vận hành (SOC), ReliaQuest gợi ý tập trung giám sát chuỗi sự kiện: yêu cầu POST trả về lỗi 500, PHP báo lỗi cạn kiệt bộ nhớ (memory exhaustion) và lỗi hỏng heap (heap corruption), dẫn đến crash tiến trình Apache.

Bitsight ước tính có khoảng 37 triệu hệ thống trên internet đang chạy PHP. Các chuyên gia nhấn mạnh rằng, vì đây là lỗ hổng nằm trong runtime của PHP, các giải pháp như Web Application Firewall (WAF) hay cập nhật plugin là không đủ. Cách duy nhất để khắc phục triệt để là cập nhật phiên bản PHP trên server. Ngoài ra, PHP Foundation cũng vừa cảnh báo thêm về một lỗ hổng RCE thứ ba (CVE-2026-115560) phát sinh trong các cấu hình đặc biệt, người dùng cần theo dõi sát sao các bản vá từ nhà phát triển.

Nguồn tham khảo: The Hacker News