Phát hiện nỗ lực khai thác lỗ hổng PHP2Shell trước khi công bố chính thức

Nhóm tình báo đe dọa của Amazon vừa đưa ra cảnh báo về một nỗ lực khai thác lỗ hổng bảo mật mới mang tên PHP2Shell. Cuộc tấn công được ghi nhận vào ngày 17/10/2026, nhắm vào hệ thống honeypot MadPot của hãng, tức là 5 ngày trước khi các bản vá và thông tin chi tiết về lỗ hổng được công bố rộng rãi.

PHP2Shell là gì?

Lỗ hổng này bao gồm hai mã định danh là CVE-2026-109618 và CVE-2026-109619, ảnh hưởng trực tiếp đến nhân (core) của PHP. Với điểm số CVSS lên tới 9.2, các lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa (RCE) mà không cần xác thực trên các hệ thống bị ảnh hưởng.

Theo các chuyên gia từ CrowdStrike, việc khai thác PHP2Shell cực kỳ nguy hiểm vì nó gần như không để lại dấu vết kỹ thuật. Kẻ tấn công không cần vượt qua xác thực, không cần đánh cắp phiên làm việc (session) và không cần tìm kiếm các endpoint cụ thể. Các log hệ thống thường không ghi nhận bất thường, khiến các quản trị viên khó lòng phát hiện ra sự xâm nhập.

Sự cố rò rỉ thông tin và làn sóng tấn công

Mặc dù kế hoạch công bố lỗ hổng được ấn định vào ngày 22/10/2026, nhưng thông tin chi tiết và mã khai thác (PoC) đã bị rò rỉ sớm. Điều này buộc PHP Foundation phải đẩy nhanh tiến độ phát hành bản vá. Ngay sau khi các bản vá được tung ra, hàng loạt nỗ lực tấn công từ các hạ tầng ẩn danh đã được ghi nhận trên toàn cầu.

Các tổ chức an ninh mạng quốc tế như CISA (Mỹ) và NCSC (Anh) đã khẩn cấp yêu cầu các doanh nghiệp áp dụng bản vá ngay lập tức. FBI cũng khuyến cáo các quản trị viên web cần giám sát chặt chẽ các tiến trình PHP, đặc biệt là các hành vi khởi chạy command shell hoặc tải xuống tệp tin lạ.

Diện ảnh hưởng rộng lớn

Với việc PHP đang vận hành khoảng 70% các trang web trên thế giới, bao gồm cả các nền tảng phổ biến như WordPress và Magento, PHP2Shell tạo ra một bề mặt tấn công khổng lồ. Các dữ liệu thống kê từ VulnCheck và Modat cho thấy hàng triệu máy chủ đang chạy các phiên bản PHP cũ, không còn được hỗ trợ, khiến chúng trở thành mục tiêu dễ dàng cho các tác nhân đe dọa.

CJ Moses, CISO của Amazon Integrated Security, nhận định rằng khoảng cách giữa thời điểm phát hành bản vá và thời điểm xuất hiện mã khai thác đang ngày càng rút ngắn. Sự hỗ trợ của AI trong việc phân tích các bản vá (patch diff) đã giúp kẻ tấn công tạo ra các exploit chỉ trong vài giờ hoặc vài phút sau khi thông tin kỹ thuật được tiết lộ.

Hiện tại, các nhà cung cấp dịch vụ bảo mật lớn như Cloudflare, Akamai, Microsoft Azure và Google Cloud đã cập nhật các quy tắc bảo vệ để ngăn chặn các nỗ lực khai thác PHP2Shell. Người dùng được khuyến cáo kiểm tra phiên bản PHP đang sử dụng và thực hiện cập nhật lên phiên bản mới nhất ngay lập tức để đảm bảo an toàn cho hệ thống.

Nguồn tham khảo: The Hacker News