PHP2Shell bị khai thác trước cả khi bản vá được phát hành

Hai lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng trong PHP, được gọi chung là PHP2Shell (CVE-2026-109618 và CVE-2026-109619), đã bị dò quét và khai thác từ ngày 17/10 — tức 4 ngày trước khi bản vá chính thức ra đời. Kể từ sau khi bản vá được phát hành, các cuộc tấn công đã leo thang nhanh chóng với số lượng khổng lồ trên phạm vi toàn cầu.

Minh họa lỗ hổng bảo mật trong mã nguồn và ứng dụng web

Khai thác bắt đầu khi lỗ hổng vẫn đang được giữ kín

Theo báo cáo của Amazon, nỗ lực khai thác PHP2Shell đầu tiên diễn ra vào ngày 17/10, thời điểm hai lỗ hổng vẫn đang nằm trong diện hạn chế công bố. Đáng chú ý, hoạt động này xuất phát từ một mạng ẩn danh hóa thương mại và nhắm vào một honeypot.

"Việc nhắm mục tiêu vào honeypot từ một địa chỉ IP ẩn danh cho thấy đây là hành vi của một tác nhân tấn công, dù vẫn chưa rõ kẻ này có được thông tin khai thác trước khi công bố bằng cách nào", Amazon nhận định.

Khoảng 12 giờ trước khi thông tin được công khai, Amazon đã ghi nhận nhiều PoC (bằng chứng khai thác) khác nhau đến từ các hạ tầng ẩn danh bổ sung. Sự đa dạng về tải trọng và nguồn gốc cho thấy nhiều nhóm tấn công khác nhau đã tham gia vào cuộc chơi.

Bản vá cho cả hai lỗ hổng được phát hành vào ngày 21/10, sau nhiều tuần PHP Foundation cùng các đối tác trong ngành xây dựng, kiểm chứng và xác thực. Trước đó một ngày, thông tin về hai lỗ hổng bị rò rỉ trực tuyến, khiến các PoC lan truyền nhanh hơn.

Bùng nổ sau khi công bố

Ngay khi lệnh hạn chế được gỡ bỏ và bản vá ra mắt, các PoC mới liên tục xuất hiện chỉ trong vài giờ. Cloudflare ghi nhận con số tăng theo cấp số nhân:

• Hàng nghìn nỗ lực khai thác trong 10 giờ trước công bố
• Hàng chục nghìn trong 45 phút sau công bố
• Hàng trăm nghìn sau 2 giờ
• Hàng triệu ở thời điểm hiện tại

Giám đốc điều hành Cloudflare, Matthew Prince, cho biết mức độ khai thác tăng chóng mặt ngay sau khi thông tin lỗ hổng được công khai. WatchTowr cũng quan sát thấy làn sóng khai thác hàng loạt, dù phần lớn mã PoC đang lan truyền chưa đạt được khả năng thực thi mã từ xa đầy đủ.

"Trong một chuỗi sự kiện hoàn toàn có thể đoán trước, WatchTowr Intel đang thấy các nỗ lực khai thác lan rộng cùng những đoạn mã PoC cẩu thả được đăng lên Twitter và GitHub. Những mã khai thác bị phun tràn lan này hoặc không hoạt động, hoặc chỉ kiểm tra khác biệt về thời gian, hoặc làm sập mục tiêu", Jake Knott, trưởng bộ phận tình báo mối đe dọa của WatchTowr, cho biết.

Hadrian, Patchstack và Cloudflare đều báo cáo thấy các nỗ lực khai thác vài giờ trước khi bản vá được phát hành. Ngoài ra, JFrog đã phát hiện các PoC giả mạo và mã độc đùa cợt được đăng tải trên GitHub, còn VulnCheck ghi nhận ít nhất một địa chỉ IP từ Trung Quốc cố gắng khai thác PHP2Shell để cài webshell nhưng không thành công.

Hơn một triệu máy chủ PHP chưa được vá

Máy chủ và hạ tầng dữ liệu cần được cập nhật bảo mật

Theo VulnCheck, VirusTotal và Censys, tính đến ngày 21/10, có hơn 1 triệu máy chủ PHP đang chạy phiên bản phần mềm chưa được vá. Censys cho biết trong số 2,58 triệu máy chủ tiếp xúc với internet được ghi nhận ngày 21/10, khoảng 1,58 triệu báo cáo phiên bản PHP có thể nhận diện và khoảng 1,57 triệu chưa được vá.

Đáng lo ngại hơn, ít nhất 1 triệu máy chủ đang chạy các phiên bản PHP đã hết vòng đời hỗ trợ (EoL):

• Hơn 700.000 máy chạy PHP 3.x đến 7.3
• Gần 400.000 máy chạy PHP 7.4, 8.0 hoặc 8.1

VirusTotal ghi nhận khoảng 5,1 triệu địa chỉ IP chạy PHP, nhưng chỉ 1,1 triệu công bố phiên bản trong HTTP header. Trong số này, chỉ khoảng 272.000 chạy phiên bản PHP được hỗ trợ, còn phần lớn (khoảng 758.000) dùng phiên bản EoL.

Tin tốt là phần lớn các máy chủ này (khoảng 920.000) đặt tại Mỹ trên nền tảng của một vài nhà cung cấp lớn như AWS, DigitalOcean, Alibaba, OVHcloud và Hetzner, nên việc khắc phục có thể thực hiện thông qua đẩy cấu hình và áp quy tắc WAF.

CISA kêu gọi cập nhật khẩn cấp

Cơ quan An ninh mạng Mỹ (CISA) đã kêu gọi các tổ chức cập nhật ngay lên các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35 — những bản đã bao gồm bản vá cho cả hai lỗ hổng PHP2Shell.

Các chuyên gia bảo mật cho rằng thách thức lớn không chỉ nằm ở tốc độ vá mà còn ở việc xác định toàn bộ hệ thống cần vá.

"Các tổ chức sẽ gặp khó khi vá nhanh, nhưng vấn đề khó hơn là tìm ra mọi thứ cần vá. Những sự kiện như thế này phơi bày các ứng dụng bị lãng quên, hệ thống bóng tối và các bản cài PHP mà chủ sở hữu mạng lưới thậm chí không biết là mình có", John Harbaugh, CISO của BlueVoyant, nhận định.

Michael Jenkins, đồng sáng lập kiêm CTO của ThreatLocker, khuyến nghị áp dụng ngay bản cập nhật khẩn cấp và bắt đầu điều tra dấu hiệu xâm nhập, bởi trong một số cấu hình, lỗ hổng có thể bị khai thác để thực thi mã trước khi các bước kiểm tra bảo mật được thực hiện. Ông cũng lưu ý rằng các biện pháp kiểm soát giới hạn quyền của tiến trình web chỉ là lớp phòng thủ dự phòng, không thể thay thế hoàn toàn cho việc vá lỗi.

So sánh với Log4Shell

Các chuyên gia của Forescout và Expel đánh giá PHP2Shell có tiềm năng trở thành sự kiện ở quy mô tương tự Log4Shell, dù lý do có khác biệt.

"PHP2Shell có tiềm năng trở thành sự kiện quy mô Log4Shell, nhưng vì lý do khác. Với Log4j, vấn đề chính là tìm ra thư viện mà bạn không biết là mình đang có. Với PHP, phần lớn hạ tầng bị lãng quên sẽ được phát hiện, nhưng sẽ không có bản vá từ phía nhà cung cấp", Sai Molige, quản lý cấp cao phòng thủ mối đe dọa của Forescout, cho biết.

Marcus Hutchins, nhà nghiên cứu mối đe dọa chính của Expel, đánh giá PHP2Shell mới ở khoảng 50% chặng đường tiến tới Log4Shell: tác động rộng lớn, khai thác trực tiếp nghiêm trọng hơn, nhưng thời gian đuôi ngắn hơn và ít bị khai thác gián tiếp do không được nhúng sâu vào phần mềm bên thứ ba như Log4J.

Bài học rút ra từ Log4j vẫn còn nguyên giá trị: các tổ chức nên xem khả năng nhanh chóng xác định nơi mình đang vận hành công nghệ X là một năng lực đo lường được, tách biệt với tốc độ vá lỗi.

Đối với các doanh nghiệp và nhà phát triển tại Việt Nam đang vận hành website hay ứng dụng trên nền PHP, việc kiểm tra ngay phiên bản PHP đang dùng và nâng cấp lên bản vá mới nhất là ưu tiên cấp bách, đặc biệt với các hệ thống chạy phiên bản cũ đã hết hỗ trợ.

Biểu tượng SecurityWeek