Chiến dịch PHP2Shell chiếm quyền root trên tường lửa Palo Alto, nhưng bất thành với WordPress

Các lỗ hổng nghiêm trọng trong PHP đang bị khai thác diện rộng, nhưng kết quả tấn công thành công lại chỉ tập trung vào một nhóm mục tiêu rất hẹp: tường lửa Palo Alto Networks.

Chuỗi khai thác đưa kẻ tấn công lên quyền root

Nhóm hacker được cho là có liên hệ với Trung Quốc đã chiếm được quyền root trên các tường lửa Palo Alto Networks bằng cách kết hợp hai lỗ hổng riêng biệt. Đầu tiên là PHP2Shell — bộ lỗ hổng được định danh CVE-2026-109618 và CVE-2026-109619 — nhắm trực tiếp vào hệ điều hành PAN-OS của Palo Alto. Sau đó, kẻ tấn công lợi dụng lỗ hổng nâng quyền trong nhân Linux mang tên Fragnesia để đạt quyền cao nhất và cài webshell tồn tại lâu dài trên thiết bị.

Khai thác lỗ hổng PHP trên máy chủ

Theo hãng bảo mật Dream, ít nhất 25 tường lửa trong số hàng trăm thiết bị bị nhắm tới đã bị xâm nhập. Công cụ tấn công được cho là có sự hỗ trợ của AI trong việc tinh chỉnh và ghép nối các exploit.

Palo Alto Networks ban đầu giữ im lặng, nhưng sau đó Unit 42 — đơn vị nghiên cứu của hãng — đã xác nhận độc lập các phát hiện này. Hãng cho biết đã phát hành bản vá cho PAN-OS 12.2, 12.1, 11.2, 11.1 và 10.2 trên dòng tường lửa PA-Series, VM-Series cũng như Panorama (phiên bản ảo và M-Series).

Rủi ro đến từ giao diện quản trị mở ra Internet

Điểm đáng chú ý là lỗ hổng có thể bị khai thác mà không cần cấu hình đặc biệt nào. Điều kiện duy nhất là giao diện quản trị (management interface) của thiết bị bị phơi ra Internet. Theo mặc định, Palo Alto Networks không mở giao diện này ra ngoài, nhưng trên thực tế nhiều quản trị viên vẫn làm vậy vì tiện vận hành từ xa.

"Không có cấu hình đặc biệt nào để bị ảnh hưởng. Chúng tôi đã quan sát thấy hoạt động khai thác nhắm vào giao diện quản trị Palo Alto Networks phơi nhiễm trên Internet." — Trích khuyến cáo của Palo Alto Networks

Hãng cho biết chỉ khoảng 0,02% tổng số thiết bị đang vận hành trên toàn cầu có giao diện quản trị hướng ra Internet và bị ảnh hưởng, đồng thời khẳng định đã liên hệ trực tiếp với từng khách hàng trong nhóm này.

Biểu tượng bảo mật máy chủ

Đối với người dùng tại Việt Nam, đây là lời nhắc đáng chú ý: nhiều doanh nghiệp và đơn vị vận hành hệ thống trong nước có thói quen mở giao diện quản trị thiết bị mạng ra ngoài để tiện truy cập. Việc giới hạn truy cập qua VPN, IP whitelist hoặc mạng nội bộ là bước phòng thủ tối thiểu cần thực hiện ngay.

22,6 triệu máy chủ PHP phơi nhiễm

Tính đến ngày 29/10, dữ liệu giám sát của Palo Alto Networks ghi nhận hơn 22,6 triệu máy chủ PHP phơi nhiễm và có khả năng bị ảnh hưởng bởi PHP2Shell. Con số này không gây ngạc nhiên, bởi PHP hiện diện khắp nơi, từ máy chủ web cho tới các hệ quản trị nội dung phổ biến như WordPress, Drupal và Joomla.

Tuy nhiên, khác với kịch bản tường lửa, chiến dịch tấn công hàng loạt nhắm vào các hệ thống PHP này gần như không thành công. Hãng bảo mật web Defiant cho biết tính đến ngày 28/10, họ chưa ghi nhận website WordPress nào bị xâm nhập qua PHP2Shell, dù đã thống kê hơn 77.000 yêu cầu liên quan từ hơn 2.000 địa chỉ IP.

Lý do khá kỹ thuật: các exploit thường phải được điều chỉnh riêng cho từng máy chủ mục tiêu, phụ thuộc vào cơ chế ASLR, bản build PHP, các extension đang chạy, giới hạn bộ nhớ và cách máy chủ xử lý yêu cầu.

"Kẻ tấn công vẫn đang thay đổi công cụ của chúng. Một vụ tấn công thành công có thể cho phép truy cập vào tệp tin, cơ sở dữ liệu và mật khẩu của trang web, vì vậy việc cập nhật PHP vẫn là điều thiết yếu." — Defiant cảnh báo

Tấn công diện rộng nhưng thành công chỉ đến từ vài IP

Dù số lượng nỗ lực khai thác rất lớn, số vụ xâm nhập thành công thực sự lại rất ít và đến từ một nhóm nhỏ tác nhân. Theo Cato Networks, khoảng 96% các cuộc tấn công bị chặn nhắm vào CVE-2026-109618, trong đó 41% cố gắng thực thi mã từ xa (RCE), phần còn lại là dò quét hoặc gửi các bản thử nghiệm (PoC) không hợp lệ.

Các nỗ lực này chủ yếu xuất phát từ một vài địa chỉ IP tại Mỹ, Hà Lan và Đức, với các yêu cầu mang tính lặp lại theo kiểu proof-of-concept. Nhóm ngành bị nhắm tới nhiều nhất là y tế, tiếp đến là công nghệ, dịch vụ bảo mật, dịch vụ chuyên nghiệp, ô tô, giáo dục, phi lợi nhuận và sản xuất. Tuy vậy, đây có vẻ là tấn công cơ hội chứ không phải có chủ đích, khi cùng một nguồn gửi yêu cầu tới nhiều tổ chức khác ngành trong cùng một ngày.

WatchTowr cho biết họ chỉ ghi nhận thành công khai thác PHP2Shell từ một địa chỉ IP duy nhất tại Đức, và trong mọi trường hợp, kẻ tấn công chỉ chạy một lệnh curl đơn giản để chứng minh khai thác thành công rồi dừng lại, không có hoạt động hậu khai thác nào.

Logo SecurityWeek

"Các kỹ thuật mới, payload sáng tạo và exploit chuyên biệt cho từng thiết bị đang được tung ra trong lúc những exploit ổn định hơn đang được hoàn thiện. Nhiều khả năng chúng ta sẽ chỉ thấy báo cáo công khai về các vụ khai thác thành công có chủ đích cao nhắm vào thiết bị biên cụ thể ngày càng tăng." — Jake Knott, trưởng bộ phận tình báo mối đe dọa tại WatchTowr

Kết luận cho doanh nghiệp

Bức tranh tổng thể cho thấy một chiến dịch khai thác ồ ạt nhưng hiệu quả thấp, ngoại trừ các thiết bị biên như tường lửa — nơi kẻ tấn công đã có exploit đáng tin cậy hơn. Với các quản trị viên hệ thống, các bước cần làm ngay gồm: cập nhật PHP lên phiên bản mới nhất, vá PAN-OS, đóng giao diện quản trị khỏi Internet, và theo dõi log truy cập bất thường từ các địa chỉ IP lạ.

Đối với các website WordPress tại Việt Nam, dù chưa có bằng chứng bị khai thác thành công, việc chủ quan với các hệ thống cũ, plugin lỗi thời và PHP lỗi phiên bản vẫn là rủi ro thường trực.