CISA xác nhận lỗ hổng PHP2Shell đang bị khai thác thực tế, hàng loạt máy chủ PHP gặp nguy

Cơ quan an ninh mạng và hạ tầng Mỹ (CISA) vừa chính thức xác nhận rằng tin tặc đang khai thác thực tế cả hai lỗ hổng nghiêm trọng được gọi chung là PHP2Shell, đồng thời yêu cầu các cơ quan chính phủ liên bang hoàn tất việc vá lỗi trong vòng ba ngày. Động thái này đánh dấu bước chuyển quan trọng so với tuần trước, khi CISA mới chỉ cảnh báo về mức độ nguy hiểm mà chưa ghi nhận được trường hợp khai thác thành công nào ngoài thực tế.

Lỗ hổng bị đưa vào danh mục KEV

CISA đã bổ sung hai mã lỗ hổng CVE-2026-109618 và CVE-2026-109619 vào Danh mục lỗ hổng bị khai thác (KEV) và ấn định hạn chót ngày 29/10 cho các cơ quan dân sự liên bang. Cả hai lỗ hổng đều được chấm 9,2 điểm theo thang CVSS và có thể bị khai thác mà không cần xác thực để chạy mã trên các máy chủ PHP bị ảnh hưởng.

Điều này đặc biệt đáng lo ngại bởi PHP vẫn là nền tảng vận hành của một phần rất lớn các website trên internet, đồng nghĩa số lượng hệ thống có khả năng bị phơi nhiễm là rất lớn.

Bản vá đến muộn hơn tin tặc

Các bản vá được phát hành ngày 21/10, nhưng tin tặc đã đi trước đội ngũ bảo trì. AWS ghi nhận các nỗ lực khai thác từ ngày 17/10, tức bốn ngày trước khi lỗ hổng được công bố công khai.

Bằng chứng về khai thác thành công cũng ngày càng rõ ràng. Ngày 24/10, nhà nghiên cứu bảo mật Adel Karimi của Perplexity đã ghi nhận 35 vụ thực thi shell thành công trên ba máy honeypot chạy PHP 8.4.26 dưới Apache mod_php. Các cuộc tấn công xuất phát từ hai địa chỉ IP, lợi dụng tình trạng cạn kiệt bộ nhớ và rò rỉ thông tin để đạt được khả năng thực thi mã từ xa.

Sau khi chiếm được shell, tin tặc còn tìm cách liên lạc với máy chủ bên ngoài thông qua PHP, curl và wget, dù chưa tải được thêm mã độc nào.

Karimi cũng lưu ý rằng các honeypot của ông dùng cấu hình đơn tiến trình thuận lợi, nên kết quả không phản ánh đầy đủ độ tin cậy của kỹ thuật tấn công trên máy chủ thực tế.

Quy mô tấn công toàn cầu

Phòng thí nghiệm tình báo mối đe dọa của Đại học Delft đã theo dõi hơn 50.000 yêu cầu khai thác PHP2Shell từ hơn 600 địa chỉ IP tại 70 quốc gia. Trong đó, 171 địa chỉ đã vượt qua giai đoạn dò quét đơn thuần và bắt đầu gửi mã khai thác hoặc các trình tải mã độc.

CISA chưa công bố tổ chức nào bị xâm phạm hay chi tiết về các vụ tấn công đứng sau quyết định đưa lỗ hổng vào KEV. Việc đưa vào danh mục xác nhận cơ quan này coi cả hai lỗ hổng đang bị khai thác tích cực, nhưng không nêu rõ số hệ thống sản xuất đã bị xâm nhập thành công.

Bài học từ những báo cáo vội vàng

Đáng chú ý, một số báo cáo trước đó về các vụ tấn công PHP2Shell thành công hóa ra lại khá vội vàng. Sophos đã rút lại đánh giá ban đầu sau khi xác định hoạt động quan sát được chỉ là dò quét và các nỗ lực thất bại. Tương tự, Palo Alto Networks đã rút lại tuyên bố liên kết lỗ hổng với một vụ xâm nhập tại cơ quan chính phủ châu Âu.

Khuyến nghị vá lỗi

Đối với các quản trị viên hệ thống, CISA khuyến cáo cập nhật lên PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35 tùy theo nhánh phiên bản đang sử dụng:

• Những ai còn chạy phiên bản cũ, không còn được hỗ trợ sẽ phải đối mặt với việc nâng cấp hoặc tìm bản vá từ nhà cung cấp.
• Các hệ thống không thể bảo vệ nên được đưa ra khỏi mạng cho đến khi xử lý xong rủi ro.

Dù hạn chót chỉ áp dụng cho cơ quan liên bang, CISA vẫn kêu gọi các tổ chức ngoài khu vực chính phủ ưu tiên vá lỗi. Với việc CISA đã chính thức thừa nhận tình trạng khai thác, bất kỳ ai còn chờ thêm bằng chứng trước khi vá có thể sẽ phải chờ lâu hơn mức an toàn cho phép.