Nhóm tấn công nghi là người Trung Quốc tự phát triển khai thác PHP2Shell, chiếm quyền root 25 máy chủ
Các nhà nghiên cứu tại Dream phát hiện nhóm tấn công nghi là người Trung Quốc đã tự xây dựng chuỗi khai thác PHP2Shell kết hợp lỗ hổng leo thang đặc quyền trong nhân Linux để chiếm quyền root 25 máy chủ, trong đó có tường lửa Palo Alto của các tổ chức liên kết với chính phủ Mỹ. Toàn bộ chuỗi tấn công từ kết nối HTTPS chưa xác thực đến webshell chạy quyền root diễn ra trong chưa đầy 15 phút.
Nhóm tấn công nghi là người Trung Quốc tự phát triển khai thác PHP2Shell, chiếm quyền root 25 máy chủ
Các nhà nghiên cứu của công ty an ninh mạng AI Dream (Israel) cho biết một nhóm tấn công nghi là người Trung Quốc đã kết hợp lỗ hổng PHP2Shell với một lỗ hổng leo thang đặc quyền trong nhân Linux để giành quyền root trên 25 máy chủ, bao gồm cả tường lửa Palo Alto Networks của những tổ chức liên kết với chính phủ Mỹ. Chiến dịch bắt đầu từ ngày 23/10 và nhắm vào các tổ chức tại Mỹ, Nhật Bản, Đài Loan và Hàn Quốc.
Chuỗi tấn công hoàn tất trong chưa đầy 15 phút
Theo báo cáo của Dream, chỉ trong vài giờ sau khi xâm nhập một tường lửa liên kết với chính phủ Mỹ, nhóm tấn công đã tạo đường hầm vào mạng nội bộ, chiếm thêm một máy chủ thứ ba bằng chính lỗ hổng PHP2Shell và phát động chiến dịch tấn công toàn diện vào Active Directory. Tất cả bắt đầu từ một yêu cầu HTTPS duy nhất không cần xác thực gửi tới giao diện quản trị lẽ ra không bao giờ được phơi ra Internet.
"Toàn bộ chuỗi — từ kết nối HTTPS chưa xác thực đến webshell chạy quyền root thường trực — hoàn tất trong chưa đầy 15 phút", nhóm nghiên cứu của Dream viết.
Đáng lo ngại hơn, Dream cảnh báo những kẻ tấn công "nhiều khả năng vẫn còn" quyền truy cập từ xa thường trực vào mạng của các tổ chức bị xâm phạm.
Lỗ hổng PHP2Shell và Fragnesia bị lợi dụng
PHP2Shell, gồm hai mã lỗ hổng CVE-2026-109618 và CVE-2026-109619, được công bố rộng rãi vào tuần trước cùng nỗi lo rằng kẻ tấn công có thể lợi dụng chúng để đánh sập phần lớn Internet. Cả hai lỗ hổng đều có điểm CVSS là 9.2, cho phép chạy mã trên các máy chủ PHP dễ tổn thương mà không cần xác thực. Dù trên GitHub có "hàng trăm" kho mã khai thác thử nghiệm (proof-of-concept), các báo cáo đầu tiên về tấn công thành công chỉ xuất hiện từ thứ Bảy.
Mã khai thác PHP2Shell mà Dream thu hồi được không phải bản sao của bất kỳ mã công khai nào.
"Có vẻ như nó được phát triển độc lập và tùy biến riêng cho nền tảng tường lửa bị nhắm tới", các nhà nghiên cứu nhận định.
Nhóm tấn công đã kết hợp PHP2Shell với Fragnesia (CVE-2026-46300), một lỗ hổng leo thang đặc quyền cục bộ mức nghiêm trọng trong phân hệ XFRM ESP-in-TCP của nhân Linux. Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) đã đưa lỗ hổng này vào danh mục các lỗ hổng bị khai thác thực tế (KEV) vào thứ Tư.
Bốn bước để chiếm quyền root
Quy trình khai thác mà nhóm tấn công sử dụng gồm bốn giai đoạn:
- Làm hỏng bộ nhớ PHP bằng cách gửi dồn dập các yêu cầu POST multipart được chế tác, buộc bố cục bộ nhớ trở nên có thể đoán trước.
- Đọc ngoài phạm vi bằng cách giả mạo độ dài session ID cũ trong bước làm hỏng bộ nhớ, từ đó lộ địa chỉ cơ sở của
libphp.sotrong tiến trình đang chạy. - Buộc
mod_data=NULLbằng cách làm cạn kiệt bộ nhớ PHP lần nữa, tạo ra tham chiếu cũ có thể bị giả mạo để chạy lệnh với tư cách người dùngnobody. - Leo thang lên root nhờ Fragnesia và cài webshell vào một thư mục công khai trên tường lửa.
Nhóm tấn công nhắm vào PAN-OS 12.1 và 12.2 — phiên bản chạy PHP 8.0.30 với giới hạn bộ nhớ cao, tạo điều kiện cho các giai đoạn làm hỏng bộ nhớ của mã khai thác.
Tấn công Active Directory và rò rỉ khóa SAML
Sau khi xâm nhập qua tường lửa, nhóm tấn công đã trinh sát Active Directory, đánh cắp thông tin xác thực và dữ liệu nhạy cảm. Với quyền root, chúng có được khóa chủ (master key) để giải mã mật khẩu tài khoản dịch vụ LDAP, rồi nhúng cứng thông tin này vào mọi script dùng về sau. Chúng cũng liệt kê toàn bộ người dùng và nhóm trong miền qua truy vấn LDAP, đồng thời dò mật khẩu (password spray) vào mọi tài khoản.
Ngoài ra, chúng còn cố tạo tài khoản AD cửa sau và trích xuất khóa ký SAML, nhưng Dream chưa xác định được liệu các nỗ lực này có thành công hay không.
Dấu vết của các công cụ AI
Cuộc điều tra cũng phát hiện bằng chứng nhóm tấn công đã sử dụng công cụ AI, tuy nhiên đây không phải một cuộc tấn công hoàn toàn tự động. Các nhà nghiên cứu tìm thấy:
- Claude Code của Anthropic được cài đặt trên hệ thống.
- Nền tảng an ninh tấn công có hỗ trợ AI tên aiscan, cấu hình với các mô hình Trung Quốc là DeepSeek và Kimi.
- Các khóa API cho dịch vụ trinh sát FOFA — công cụ tìm kiếm tài sản Internet của Trung Quốc, tương tự Shodan.
Theo Dream, nhóm tấn công dùng FOFA để xác định khoảng 19.000 tường lửa Palo Alto Networks đang phơi ra Internet trên toàn thế giới.
"Đường hầm thường trực vào tổ chức chính phủ Mỹ nhiều khả năng vẫn đang hoạt động", Dream cảnh báo. "Và kẻ tấn công vẫn còn 19.000 mục tiêu đã được lập danh sách để có thể quay lại khi chúng phát triển thêm hồ sơ cho các phiên bản PAN-OS khác."
Góc nhìn cho người dùng và doanh nghiệp Việt Nam
Sự việc này là lời cảnh báo rõ ràng cho các doanh nghiệp Việt Nam, đặc biệt những đơn vị vận hành hệ thống PHP hoặc dùng tường lửa Palo Alto Networks. Một số khuyến nghị đáng lưu ý:
- Không bao giờ phơi giao diện quản trị ra Internet công cộng — đây chính là điểm khởi đầu của toàn bộ chuỗi tấn công.
- Cập nhật bản vá ngay lập tức cho PHP và PAN-OS; các lỗ hổng có điểm CVSS 9.2 và khai thác không cần xác thực luôn là ưu tiên hàng đầu.
- Rà soát cấu hình bộ nhớ PHP để giảm thiểu khả năng bị khai thác các lỗi làm hỏng bộ nhớ.
- Tăng cường giám sát Active Directory, đặc biệt các truy vấn LDAP bất thường và hành vi dò mật khẩu.
Với mức độ phổ biến của PHP trong hạ tầng web tại Việt Nam, các quản trị viên hệ thống nên coi PHP2Shell là mối đe dọa cấp bách cần xử lý ngay, thay vì chờ đợi các báo cáo sự cố tiếp theo.
