Lỗ hổng PHP2Shell bị khai thác trước cả khi bản vá ra đời

Cuộc chạy đua vá lỗi trên toàn cầu hôm thứ Tư cho hai lỗ hổng nghiêm trọng trong PHP — ngôn ngữ lập trình web được sử dụng rộng rãi — hóa ra đã quá muộn để ngăn chặn mọi cuộc tấn công. Những chi tiết mới được công bố đã cho thấy điều đó.

Bản vá chưa kịp "nóng" đã có kẻ tấn công

Việc phát hành bản vá cho hai lỗ hổng nghiêm trọng trong PHP khiến các quản trị viên và chuyên gia bảo mật phải gấp rút rà soát, vá các website và ứng dụng bị ảnh hưởng. Trong khi đó, tin tặc tất nhiên cũng đảo ngược kỹ thuật các bản vá để tìm cách khai thác lỗ hổng. Một số chính phủ và tổ chức thậm chí đã chủ động tạm hạ các website quan trọng để tránh bị nhắm tới trước khi kịp áp dụng bản vá.

Tuy nhiên, ngoài việc phát hiện các hoạt động khai thác đang diễn ra trong ngày thứ Tư, nghiên cứu công bố tối cùng ngày của Amazon Web Services (AWS) cho thấy ít nhất một đối tượng đã bắt đầu tấn công các lỗ hổng này — được gọi chung là PHP2Shell — từ ngày 17/10, tức bốn ngày trước khi thông tin được công bố rộng rãi.

Các nhà phân tích AWS phát hiện hoạt động khai thác ngày 17/10 khi rà soát lại dữ liệu trên một honeypot — máy chủ web cố tình để lộ lỗ hổng nhằm giúp giới nghiên cứu theo dõi phương thức và xu hướng tấn công. Nỗ lực này đến từ một địa chỉ IP mà AWS cho biết có liên hệ với một "mạng ẩn danh thương mại", tức mạng proxy hoặc VPN.

"Trong khi lỗ hổng còn đang bị hạn chế công bố, việc một honeypot bị nhắm tới từ địa chỉ IP ẩn danh cho thấy hành vi này do một tác nhân đe dọa thực hiện, dù vẫn chưa rõ đối tượng này có được thông tin khai thác bằng cách nào trước khi công bố", CJ Moses, Giám đốc an ninh thông tin của AWS, viết trong bài nghiên cứu.

Mã khai thác xuất hiện trước cả giờ công bố

Các mã khai thác thử nghiệm (proof-of-concept) cho PHP2Shell bắt đầu xuất hiện công khai trong ngày thứ Tư, một số thậm chí có vẻ xuất hiện vài giờ trước thời điểm công bố chính thức lúc 10 giờ sáng theo giờ miền Đông nước Mỹ.

Trong những giờ trước khi công bố, các nhà nghiên cứu AWS cho biết honeypot của họ đã bị tấn công nhiều lần qua nhiều nhà cung cấp ẩn danh khác nhau và có vẻ với nhiều mục tiêu khác nhau — nhiều khả năng cho thấy có nhiều tác nhân riêng biệt cùng tham gia.

"Phân tích kỹ thuật vẫn đang được tiến hành và chưa rõ liệu bất kỳ nỗ lực nào trong số này có thành công trên hệ thống thực tế hay không", Moses cho biết, đồng thời nhấn mạnh rằng PHP2Shell hiện đang bị khai thác rộng rãi trên môi trường internet.

Quỹ PHP chưa phản hồi ngay yêu cầu bình luận của báo giới.

AI đang rút ngắn khoảng cách từ bản vá đến mã khai thác

Dù chưa rõ vụ khai thác ngày 17/10 diễn ra thế nào hay đến từ đâu, AWS nhấn mạnh phát hiện này cho thấy quy trình công bố lỗ hổng có phối hợp cần phải thay đổi và tăng tốc, trong bối cảnh các công cụ AI toàn cầu giúp việc phân tích lỗ hổng nhanh hơn và cho phép những đối tượng ít chuyên môn hơn cũng có thể nhanh chóng phát triển mã khai thác mới.

"Khoảng thời gian từ bản vá đến mã khai thác hoạt động được đang thu hẹp vì những lý do mang tính cấu trúc. Trước đây, phần lớn hoạt động khai thác chúng tôi quan sát được diễn ra sau khi một bản chứng minh khái niệm công khai được phát hành. Một nhóm nhỏ các đối tượng có năng lực xây dựng mã khai thác, còn những người khác chỉ chờ đợi. Sự phụ thuộc đó đang yếu đi. Phân tích có sự hỗ trợ của AI khiến việc biến một bản diff của bản vá hoặc một bản tin cảnh báo thành mã khai thác hoạt động trở nên rẻ hơn. Kết quả là ngày càng nhiều đối tượng có thể hành động chỉ trong vài giờ, thậm chí vài phút sau khi thông tin kỹ thuật của lỗ hổng được công bố", Moses viết.

Ý nghĩa với người dùng và doanh nghiệp Việt Nam

PHP vẫn là nền tảng phổ biến cho rất nhiều website và ứng dụng tại Việt Nam, từ các trang tin, cổng thương mại điện tử cho tới hệ thống nội bộ của doanh nghiệp. Với diễn biến này, các đơn vị vận hành website nên:

• Ưu tiên cập nhật bản vá PHP ngay khi có thể, đặc biệt với các hệ thống công khai trên internet
• Rà soát log truy cập để phát hiện dấu hiệu khai thác bất thường trong những ngày qua
• Giới hạn quyền truy cập vào các dịch vụ quản trị và áp dụng tường lửa ứng dụng web (WAF)
• Không chờ tới khi có thông tin chi tiết đầy đủ — trong bối cảnh AI hỗ trợ phân tích, thời gian phản ứng ngắn là yếu tố sống còn

Bài học từ PHP2Shell cho thấy giới bảo mật đang phải đối mặt với một cuộc chơi mới: kẻ tấn công không chỉ chờ bản vá bị "bóc" để học cách khai thác, mà ngày càng có thể hành động sớm hơn, nhanh hơn và ở quy mô lớn hơn.