PHP2Shell bị khai thác trong đợt tấn công phá hoại Check Point

Check Point vừa công bố thông tin về hai đợt tấn công nhắm vào thiết bị gateway của hãng, trong đó tin tặc khai thác nhóm lỗ hổng PHP2Shell để giành quyền truy cập ban đầu, sau đó triển khai mã độc xóa dữ liệu (wiper) trên hệ thống nạn nhân.

Diễn biến hai đợt tấn công

Đợt tấn công đầu tiên mang tính phá hoại, bắt đầu từ ngày 30/10 và nhắm vào các tổ chức tại Israel. Đợt thứ hai khởi phát ngày 2/11, hướng tới các tổ chức ở nhiều quốc gia khác nhau.

Minh họa an ninh mạng

PHP2Shell gồm hai lỗ hổng nghiêm trọng, được theo dõi với mã CVE-2026-109618 và CVE-2026-109619, cho phép thực thi mã từ xa (RCE - Remote Code Execution) và ảnh hưởng tới mọi phiên bản PHP từ PHP 5 trở lên. Các lỗ hổng này đã được vá vào ngày 21/10, nhưng việc khai thác đã diễn ra vài ngày trước khi bản vá phát hành, và bị khai thác hàng loạt ngay sau đó.

Chuỗi tấn công chi tiết

Trong chiến dịch nhắm vào Check Point, tin tặc dùng PHP2Shell để xâm nhập ban đầu, sau đó nhắm tới CVE-2026-123039 — một lỗ hổng leo thang đặc quyền cục bộ trong tiến trình DynamicCLI — để giành quyền root, triển khai webshell PHP và thiết lập cơ chế duy trì truy cập (persistence).

Vào cuối tháng 10, nhóm tấn công nhắm vào các gateway Check Point Mobile Access tại nhiều tổ chức Israel. Chúng đặt webshell PHP vào thư mục mà cổng thông tin Mobile Access dùng để dựng trang đăng nhập, qua đó gửi lệnh và củng cố chỗ đứng trong hệ thống.

Tiếp theo, tin tặc triển khai TSGA và TSProxy — các biến thể của framework mã độc PhiliKit, từng xuất hiện trong vụ nhóm UNC5221 (được cho là có liên hệ với Trung Quốc) tấn công sản phẩm Ivanti — nhằm tạo truy cập backdoor và chặn bắt chức năng mạng.

Sau khi thăm dò tài sản nội bộ, chúng di chuyển ngang (lateral movement) sang một máy chủ VMware ESXi, triển khai và chạy wiper, rồi để lại một ghi chú nhắc tới Dream Security.

Dấu hiệu mâu thuẫn về thủ phạm

Theo Check Point, tin tặc hoạt động trong khung giờ làm việc điển hình của Trung Quốc. Tuy nhiên, dù sử dụng mã độc và hạ tầng liên quan tới Trung Quốc, việc dùng wiper và tính chất phá hoại của đợt tấn công lại không khớp với các chiến dịch mạng đã biết của Trung Quốc.

"Tổng hợp các bằng chứng, chúng tôi không thể đánh giá với độ tin cậy cao về bản chất thực sự của chiến dịch này. Một số kịch bản vẫn khả thi: đối tượng đã thực hiện toàn bộ chiến dịch, chỉ đóng vai trò môi giới truy cập ban đầu (initial access broker), hoặc tham gia vào một chiến dịch cờ giả (false-flag). Cũng có khả năng hoạt động phá hoại đóng vai trò màn khói che mắt," Check Point nhận định.

Minh họa tấn công mạng

Đợt thứ hai nhắm vào Check Point Security Gateways tại các tổ chức trên toàn cầu, bao gồm một số đơn vị Israel đã bị tấn công trong đợt đầu. Không có hoạt động phá hoại nào được ghi nhận trong đợt này.

Check Point lưu ý: "Cả hai đợt đều không cho thấy ưu tiên ngành nghề rõ ràng, cho thấy đây là các nỗ lực truy cập ban đầu mang tính cơ hội hơn là nhắm mục tiêu theo ngành cụ thể."

Góc nhìn

Với các kỹ sư và doanh nghiệp vận hành hạ tầng bảo mật, sự kiện này cho thấy chính các thiết bị bảo vệ vành đai cũng là mục tiêu ưu tiên. Lỗ hổng trong thành phần PHP dùng để dựng giao diện đăng nhập nhắc nhở rằng các luồng xử lý phụ, kể cả trang đăng nhập, đều có thể trở thành điểm vào nếu không được vá kịp.

Việc tin tặc kết hợp lỗ hổng thực thi mã từ xa với một lỗ hổng leo thang đặc quyền cục bộ để lên quyền root cho thấy tầm quan trọng của việc vá đồng bộ toàn bộ chuỗi lỗ hổng, chứ không chỉ khắc phục từng điểm riêng lẻ. Với đội ngũ DevOps và bảo mật, đây là lời nhắc về việc rà soát quyền truy cập tới giao diện quản trị, giám sát các tiến trình leo thang đặc quyền và cảnh giác với kịch bản kẻ tấn công chỉ đóng vai trò bán lại quyền truy cập cho bên khác.