Cảnh báo: Tin tặc đang khai thác lỗ hổng PHP2Shell trên các thiết bị Palo Alto Networks

Palo Alto Networks vừa đưa ra cảnh báo khẩn cấp về việc các nhóm tấn công đang tích cực khai thác các lỗ hổng PHP2Shell trên những giao diện quản trị thiết bị đang kết nối trực tiếp với internet.

Các lỗ hổng này, được định danh là CVE-2026-109618 và CVE-2026-109619 (với điểm CVSS 9.2), cho phép tin tặc thực thi mã từ xa (RCE) mà không cần xác thực trên các hệ thống chạy phiên bản PHP bị ảnh hưởng. Phía PHP Foundation đã phát hành bản patch cho các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35 vào ngày 21/10/2026.

Theo các báo cáo bảo mật, lỗ hổng này thường được kết hợp với một lỗi leo thang đặc quyền cục bộ trên nhân Linux có tên là Fragnesia (CVE-2026-46300, CVSS 7.8). Sự kết hợp này cho phép kẻ tấn công chiếm quyền root trên các máy chủ mục tiêu. Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã bổ sung CVE-2026-46300 vào danh mục Known Exploited Vulnerabilities (KEV) và yêu cầu các cơ quan liên bang phải hoàn tất cập nhật trước ngày 31/10/2026.

Phạm vi ảnh hưởng và khuyến nghị:

Palo Alto Networks nhấn mạnh rằng rủi ro cao nhất nằm ở các thiết bị PAN-OS cho phép truy cập giao diện quản trị từ các địa chỉ IP bên ngoài internet. Lỗ hổng này ảnh hưởng trực tiếp đến giao diện web HTTPS và dịch vụ XML API.

Đối với các phiên bản PAN-OS chưa có bản vá chính thức, nhà sản xuất khuyến nghị các biện pháp giảm thiểu rủi ro (mitigation) như sau:

• Chuyển hướng lưu lượng truy cập cổng quản trị (MGT) qua cổng dữ liệu (DP) bằng cách kích hoạt profile quản trị trên giao diện DP.
• Thay thế chứng chỉ cho việc quản lý lưu lượng truy cập đến.
• Giải mã lưu lượng truy cập đến giao diện quản trị để firewall có thể kiểm tra.
• Kích hoạt tính năng ngăn chặn mối đe dọa (threat prevention) cho các dịch vụ quản trị.

Người dùng được khuyến cáo kiểm tra danh sách phiên bản PAN-OS bị ảnh hưởng trên trang tư vấn bảo mật chính thức của Palo Alto Networks và áp dụng các bản vá ngay khi có thể để tránh bị bypass các lớp bảo vệ.

Nguồn tham khảo: The Hacker News