Botnet Mirai nhắm vào lỗ hổng PHP2Shell, xuất hiện khai thác vượt ASLR

Hai ngày sau khi PHP phát hành bản vá khẩn cấp cho các lỗ hổng PHP2Shell, tin tặc đã tìm cách lợi dụng chúng để phát tán botnet Mirai. Một công ty bảo mật cũng đã chế tạo được khai thác vượt qua một lớp bảo vệ bộ nhớ quan trọng, trong khi một máy chủ của kẻ tấn công bị lộ đã phơi bày bộ công cụ tùy chỉnh. Dù vậy, đến nay vẫn chưa có vụ xâm nhập thành công nào trên thực tế được xác nhận.

Ảnh minh họa về lỗ hổng bảo mật PHP

PHP2Shell là gì và mức độ nguy hiểm ra sao?

PHP2Shell là tên gọi chung của hai lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619 trong nhân PHP, có thể bị khai thác để thực thi mã từ xa mà không cần xác thực. Mỗi lỗ hổng có điểm CVSS v4.0 là 9.2 – mức gần tối đa.

Các lỗ hổng được Wiz, OpenAI và Calif phát hiện vào tháng 8. PHP đã vá chúng vào ngày 21/10 bằng các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35, sớm hơn một ngày so với kế hoạch, sau khi mã CVE bị rò rỉ trên mạng.

Amazon phát hiện nỗ lực khai thác đầu tiên vào ngày 17/10, và hoạt động tấn công bùng nổ ngay khi bản vá được phát hành. Kể từ đó, các nhà cung cấp, công ty bảo mật và cơ quan chính phủ liên tục đưa ra khuyến cáo, quy tắc phát hiện và hướng dẫn vá lỗi.

Mức độ nghiêm trọng khiến nhiều tổ chức chủ động đưa hệ thống xuống để phòng ngừa. Hàng loạt website của chính phủ, trường học và bệnh viện tại châu Âu đã ngừng hoạt động trong ngày 21/10. Chính phủ Anh cho biết 32 dịch vụ của nước này bị gián đoạn và 4 dịch vụ hoạt động một phần, chủ yếu do các biện pháp phòng ngừa trong lúc vá lỗi.

Botnet Mirai tham gia cuộc chơi

Sophos cho biết tin tặc đã tìm cách lợi dụng PHP2Shell để cài đặt Potassium, mà hãng tin đây là một biến thể của botnet Mirai. Nỗ lực mà Sophos phân tích đã bị chặn, nên mã độc chưa bao giờ chạm tới hệ thống mục tiêu.

Mẫu mã độc được Sophos mô tả là một bản dựng cập nhật, có nhiều chức năng hơn, của chủng Mirai xuất hiện lần đầu vào đầu năm 2026. Nó có thể tải thêm mã độc khác và phát động các cuộc tấn công DDoS.

"Việc thiếu các khai thác thành công trên thực tế cho thấy chính tin tặc cũng đang gặp khó khăn."

Sophos cũng phải đính chính một bản cập nhật trước đó khi từng báo cáo có khai thác thành công. Trong khi đó, Arctic Wolf liên kết hai tệp nhị phân Potassium với các máy chủ lưu trữ payload PHP2Shell, nhưng cho biết dữ liệu của mình không cho thấy các yêu cầu PHP2Shell đã tải xuống hoặc chạy mã độc.

Hunt.io quy các luồng lưu lượng PHP2Shell mà họ quan sát được cho một botnet kiểu Mirai đã hoạt động ổn định từ ít nhất tháng 5/2026, gần đây bổ sung các lỗ hổng này vào danh sách phương thức lây lan.

Khai thác vượt qua ASLR trong môi trường thực tế

Các nhà nghiên cứu từng coi ASLR (Address Space Layout Randomization – cơ chế ngẫu nhiên hóa vị trí mã và dữ liệu trong bộ nhớ) là rào cản lớn để đạt được thực thi mã. VulnCheck tuyên bố đã tìm ra cách vượt qua.

Khai thác của hãng cho CVE-2026-109618 dựa vào một lỗ rò rỉ bộ nhớ để đạt thực thi mã trên hệ thống x86-64 có bật ASLR và tắt hiển thị lỗi PHP – chính là cấu hình được khuyến nghị cho môi trường production. Khai thác này hiện chỉ cung cấp cho khách hàng của dịch vụ Initial Access Intelligence.

"Chúng tôi chưa biết bất kỳ khai thác công khai hay thương mại nào khác đạt được RCE trên nhiều phiên bản PHP trong cấu hình production, dù chúng tôi dự đoán điều này sẽ thay đổi khi kẻ tấn công phát triển các cuộc tấn công tinh vi dần."

VulnCheck cũng lưu ý rằng dù hàng trăm kho PoC đã xuất hiện trên GitHub, rất ít trong số đó chứa khai thác thực sự.

Máy chủ của kẻ tấn công bị lộ

SOCRadar phát hiện một kẻ tấn công có mục tiêu tương tự khi tìm thấy bộ công cụ PHP2Shell trên một máy chủ do đối tượng kiểm soát, với các tệp làm việc bị để công khai có thể duyệt được.

Các tệp bao gồm một chuỗi khai thác cho PHP 8.4.26 trên Apache mod_php, được người điều hành thử nghiệm trong phòng lab và quảng cáo là khai thác "một cú nhấp". Các script đi kèm kiểm tra xem website thật có cấu hình mà khai thác yêu cầu hay không.

Cấu hình đó khá hiếm gặp. Theo SOCRadar, chuỗi khai thác chỉ hoạt động trên các máy chủ được thiết lập giống hệ thống thử nghiệm hơn là môi trường production được gia cố.

Người điều hành đã thu thập dấu vết của khoảng 20 website tại các nước gồm Mỹ, Anh, Canada, Pháp, Phần Lan, Ba Lan và Trung Quốc, rồi thăm dò sâu hơn 11 trang. Không trang nào đáp ứng yêu cầu của khai thác.

Hunt.io cũng phân tích máy chủ này và phát hiện người điều hành đã chạy 10 vòng tấn công, mở rộng danh sách mục tiêu lên 123 máy chủ do các nhà cung cấp cloud, dịch vụ lưu trữ chia sẻ và ISP vận hành. Khoảng 57 máy chủ chạy PHP, 10 từ chối yêu cầu, và không máy chủ nào bị khai thác thành công.

Ảnh minh họa chuyên gia bảo mật

Vá lỗi vẫn chậm hơn đáng kể so với mối đe dọa

Qualys, qua phân tích dữ liệu ẩn danh từ 12.000 khách hàng, cho biết chỉ 199.000 phiên bản PHP được vá trong vòng 12 giờ sau khi công bố lỗ hổng.

Theo hãng này, khoảng 110 triệu phiên bản (tương đương 71%) chạy các phiên bản PHP từ 5.4 đến 8.1 đã hết vòng đời hỗ trợ, và phần lớn trong số đó sẽ không bao giờ nhận được bản vá từ nhà cung cấp. Thêm 44 triệu phiên bản khác chạy các nhánh PHP còn được hỗ trợ, đã có bản vá nhưng chưa được áp dụng.

Tính đến sáng ngày 23/10, CISA vẫn chưa thêm hai lỗ hổng này vào danh mục Các lỗ hổng đã bị khai thác (KEV). Censys đang theo dõi tiến độ vá PHP2Shell theo thời gian thực qua một bảng điều khiển công khai, hiển thị số lượng dịch vụ PHP hướng ra internet vẫn chạy phiên bản dễ bị tổn thương.

Ý nghĩa với người dùng và doanh nghiệp Việt Nam

Với các tổ chức tại Việt Nam đang vận hành website hoặc ứng dụng trên nền PHP, đây là thời điểm cần hành động ngay:

• Kiểm tra phiên bản PHP đang chạy và nâng cấp lên 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35 càng sớm càng tốt.
• Ưu tiên các hệ thống hướng ra internet, đặc biệt là các máy chủ dùng chung hoặc cấu hình lỏng lẻo vốn là mục tiêu ưa thích của botnet Mirai.
• Tắt hiển thị lỗi PHP trên môi trường production – đây vừa là thông lệ tốt, vừa hạn chế rò rỉ thông tin hỗ trợ kẻ tấn công.
• Theo dõi bảng điều khiển của Censys để nắm được mức độ phơi nhiễm của hạ tầng tương tự trong khu vực.

Diễn biến PHP2Shell cho thấy một nghịch lý quen thuộc: lỗ hổng có thể chưa bị khai thác thành công trên diện rộng, nhưng tốc độ vá lỗi chậm và lượng lớn hệ thống hết vòng đời hỗ trợ chính là điều kiện lý tưởng để các cuộc tấn công quy mô lớn bùng phát trong những tuần tới. Việc chủ động vá lỗi ngay lúc này quan trọng hơn mọi phản ứng khi sự cố đã xảy ra.

SecurityWeek