Lỗ hổng PHP2Shell bị khai thác thành công ngay cả khi bật ASLR

Các nhà nghiên cứu tại VulnCheck vừa công bố một mã khai thác mới cho thấy ngay cả cơ chế ASLR (Address Space Layout Randomization) trên máy chủ x86-64 cũng không thể ngăn chặn lỗ hổng PHP2Shell. Đây được đánh giá là bước tiến đáng kể, bởi từ trước đến nay ASLR vẫn là rào cản lớn nhất khiến các cuộc tấn công lỗ hổng này trên máy chủ thực tế gần như bất khả thi.

Trong khi đó, tình hình càng trở nên nghiêm trọng hơn khi có báo cáo cho thấy kẻ tấn công đã lợi dụng các lỗ hổng này nhiều ngày trước khi chúng được công bố, và hàng loạt trang web của chính phủ Anh đã phải chủ động tạm ngừng hoạt động.

PHP2Shell là gì và mức độ nguy hiểm ra sao?

PHP2Shell là cặp lỗ hổng bảo mật nghiêm trọng trong PHP, gồm CVE-2026-109618 – một lỗi hỏng bộ nhớ do tràn out-of-memory, dẫn đến thực thi mã từ xa (RCE) – cùng với CVE-2026-109619. Quỹ PHP Foundation đã chính thức công bố và phát hành bản vá cho cả hai lỗ hổng vào thứ Tư vừa qua.

Chỉ trong một đêm, nhóm nghiên cứu của VulnCheck đã phát triển được mã khai thác mà họ tin là đầu tiên trên thế giới đạt được RCE trên hệ thống x86-64 có bật ASLR, với cấu hình sản xuất được PHP khuyến nghị.

ASLR – "lá chắn" từng khiến giới tấn công bó tay

ASLR là cơ chế phòng thủ tích hợp sẵn chống lại các lỗi hỏng bộ nhớ như PHP2Shell. Cơ chế này xáo trộn ngẫu nhiên vị trí bộ nhớ của các vùng dữ liệu quan trọng trong chương trình mỗi lần chạy, khiến kẻ tấn công không thể đoán đúng địa chỉ bộ nhớ đích – và do đó không thể thực thi mã độc.

Theo ông Spencer McIntyre, Giám đốc phát triển mã khai thác tại VulnCheck, dù trên GitHub có đến "hàng trăm" kho lưu trữ bằng chứng khái niệm (PoC) về PHP2Shell, nhưng "rất ít trong số đó chứa mã khai thác thực sự hoạt động được" – phần lớn là do ASLR.

"Có sự khác biệt rất lớn giữa việc chứng minh một lỗ hổng tồn tại và việc phát triển một mã khai thác có thể vượt qua các lớp bảo vệ trong môi trường thực tế. Một trong những trở ngại lớn nhất chính là ASLR – cơ chế được thiết kế để khiến các lỗ hổng hỏng bộ nhớ trở nên khó khai thác hơn nhiều", McIntyre chia sẻ.

Kỹ thuật mới vượt qua ASLR như thế nào?

Kỹ thuật của VulnCheck lợi dụng một điểm rò rỉ bộ nhớ đã được xác nhận, rồi móc nối chuỗi để đạt được RCE trên PHP 8.4.26. Theo nhóm nghiên cứu, mã khai thác này hoạt động trên nền tảng x86-64 ngay cả khi ASLR được bật và cấu hình sản xuất có display_errors=off – thiết lập được PHP khuyến nghị.

"Chúng tôi chưa tìm thấy mã khai thác công khai hay thương mại nào khác đạt được điều này trong cùng điều kiện. Việc phát triển năng lực này không hề đơn giản chút nào, nhưng nó chứng minh rằng một rào cản lớn khi khai thác PHP2Shell trên các hệ thống cấu hình sản xuất đã bị phá vỡ", McIntyre cho biết.

VulnCheck cho hay mã khai thác cũng chạy được trên kiến trúc ARM64, tuy nhiên khả năng RCE hiện chưa hoạt động trên các hệ thống dùng chip ARM. Hiện mã khai thác này chỉ được cung cấp cho các khách hàng sử dụng dịch vụ Initial Access Intelligence của công ty.

Cảnh báo cho các tổ chức và doanh nghiệp

Điều đáng lo ngại là kẻ tấn công đang tận dụng AI để tìm thêm nhiều cách khai thác mới. Theo McIntyre:

"Rõ ràng các đối thủ đang dành thời gian (và cả token) cho lỗ hổng này."

Ông cũng đưa ra lời cảnh tỉnh: trong thời đại AI hỗ trợ săn lỗ hổng và phát triển mã khai thác, "không nên nhầm lẫn giữa độ khó kỹ thuật của việc khai thác một lỗ hổng với sự bảo vệ chống lại nó".

"Các tổ chức đang chạy phiên bản PHP dính lỗ hổng nên ưu tiên vá lỗi thay vì mặc định rằng các lớp bảo vệ bộ nhớ hay thay đổi cấu hình hiện có sẽ ngăn chặn được cuộc tấn công."

Đối với các doanh nghiệp và đơn vị vận hành hệ thống web tại Việt Nam, đây là hồi chuông cảnh báo rõ ràng. Những hệ thống dùng PHP – vốn cực kỳ phổ biến trong các website, ứng dụng nội bộ và nền tảng thương mại điện tử – cần được rà soát phiên bản ngay lập tức. Việc cập nhật lên bản vá mới nhất của PHP nên được ưu tiên hơn mọi giải pháp đối phó tạm thời khác.