Cloudflare triển khai bảo vệ trước lỗ hổng php2shell trên PHP

Các nhà nghiên cứu bảo mật từ Calif.io, Wiz, OpenAI và Quarkslab vừa công bố hai lỗ hổng nghiêm trọng trong PHP, được định danh là CVE-2026-109618 và CVE-2026-109619, gọi chung là php2shell. Lỗ hổng này ảnh hưởng đến tất cả các máy chủ chạy PHP phiên bản 5.4 trở lên, cho phép kẻ tấn công thực thi mã từ xa (RCE), gây từ chối dịch vụ (DoS) hoặc đánh cắp dữ liệu thông qua các yêu cầu HTTP được thiết kế đặc biệt.

Cơ chế bảo vệ từ Cloudflare

Cloudflare đã phối hợp cùng các đơn vị liên quan để triển khai các biện pháp giảm thiểu rủi ro ngay từ đầu tháng 10/2026, trước khi thông tin được công bố chính thức. Điểm đáng chú ý là Cloudflare đã giới thiệu khả năng full transaction detection (phát hiện giao dịch toàn diện) mới cho WAF. Công nghệ này không chỉ phân tích yêu cầu (request) mà còn kiểm tra phản hồi (response) từ server gốc để xác định chính xác các nỗ lực khai thác, giúp giảm thiểu tối đa tỷ lệ cảnh báo sai (false positive).

Hiện tại, tất cả khách hàng của Cloudflare, bao gồm cả gói Free, đều đã được bảo vệ mặc định bởi các quy tắc WAF mới mà không cần thực hiện thêm thao tác cấu hình nào.

Về lỗ hổng php2shell

PHP hiện đang là nền tảng của khoảng 70% website trên toàn cầu, bao gồm các hệ quản trị nội dung phổ biến như WordPress và Magento. Lỗ hổng php2shell phát sinh từ cách PHP xử lý bộ nhớ khi gặp lỗi trong quá trình xử lý yêu cầu HTTP:

• CVE-2026-109618: Xảy ra khi PHP cạn kiệt bộ nhớ và ngắt quãng công việc trước khi dữ liệu nội bộ được khởi tạo đúng cách, dẫn đến việc sử dụng dữ liệu chưa hoàn thiện trong quá trình dọn dẹp.
• CVE-2026-109619: Xảy ra khi một lỗi nghiêm trọng làm gián đoạn yêu cầu, khiến PHP giữ lại các tham chiếu đến vùng nhớ đã được giải phóng, dẫn đến việc truy cập vào vùng nhớ không hợp lệ ở các yêu cầu sau đó.

Khuyến nghị cho quản trị viên

Mặc dù các quy tắc WAF của Cloudflare cung cấp lớp phòng thủ vững chắc, đây chỉ là giải pháp tình thế (defense-in-depth). Các quản trị viên cần thực hiện các bước sau:

• Cập nhật PHP: Đây là cách khắc phục triệt để nhất. Hãy theo dõi các bản vá từ nhà cung cấp PHP và cập nhật phiên bản mới nhất cho máy chủ của bạn.
• Duy trì WAF: Giữ các quy tắc bảo vệ của Cloudflare được bật để ngăn chặn các kỹ thuật tấn công biến thể mới.
• Kiểm soát tài nguyên: Hạn chế các tệp tin tải lên không cần thiết và giới hạn kích thước upload để giảm thiểu áp lực lên bộ nhớ server.

Người dùng có thể theo dõi các sự kiện bị chặn thông qua mục Security > Security Analytics > Events trên bảng điều khiển Cloudflare để kiểm tra các nỗ lực tấn công nhắm vào ứng dụng của mình.

Nguồn tham khảo: Cloudflare Blog