PHP2Shell: Lỗ hổng RCE nghiêm trọng trong PHP đã có bản vá, giới tấn công bắt đầu dò quét

Hai lỗ hổng nghiêm trọng trong lõi ngôn ngữ PHP vừa được vá khẩn cấp, nhưng giới tấn công đã nhanh chân hơn dự kiến khi các nỗ lực khai thác đầu tiên đã xuất hiện chỉ vài giờ sau khi bản vá được công bố.

PHP2Shell là gì và nguy hiểm đến mức nào?

PHP vừa phát hành bản vá cho hai lỗ hổng có mức độ nghiêm trọng cao mang tên PHP2Shell, được đánh mã CVE-2026-109618 (lỗi hỏng bộ nhớ do cạn kiệt bộ nhớ – OOM) và CVE-2026-109619 (trạng thái toàn cục bị lỗi thời). Cả hai đều có điểm CVSS 9.2 và cho phép kẻ tấn công thực thi mã từ xa (RCE) mà không cần xác thực.

Theo PHP Foundation, cả hai lỗi đều nằm trong những phần mà gần như mọi request đều đi qua: quản lý bộ nhớ và xử lý lỗi. Chính vị trí trung tâm này khiến chúng vừa nguy hiểm vừa cực kỳ khó sửa.

Bản vá đã được tích hợp vào các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Các bản backport tối thiểu cho PHP 7.4, PHP 8.0 và PHP 8.1 cũng đã được phát hành.

"Đây là một mỏ vàng cho tin tặc. Chúng có thể chiếm đoạt website thật để lợi dụng uy tín của trang, dùng đó để lừa đảo người dùng hoặc phát tán phần mềm độc hại từ một kênh đáng tin cậy. Cơ hội là vô tận", Shahak Shalev, Giám đốc nghiên cứu lừa đảo và AI toàn cầu tại Malwarebytes, nhận định.

Mã khai thác lỗ hổng PHP2Shell

Khai thác trong thực tế đã bắt đầu

Trước khi bản vá xuất hiện, các mã khai thác proof-of-concept (PoC) nhắm vào hai lỗ hổng này đã bắt đầu lan truyền. Công ty quản lý bề mặt tấn công WatchTowr cho biết đã ghi nhận những nỗ lực khai thác thực tế đầu tiên đập vào hệ thống cảm biến của mình gần như cùng lúc với thời điểm bản vá phát hành.

"Cho đến nay chưa có ai thành công, nhưng chúng tôi không nghĩ tình trạng đó sẽ kéo dài lâu", Jake Knott, Trưởng bộ phận tình báo mối đe dọa tại WatchTowr, chia sẻ.

Một số công ty khác cũng báo cáo ghi nhận các nỗ lực khai thác, thậm chí từ trước khi bản vá ra mắt:

• Hadrian cho biết đã thấy PHP2Shell bị khai thác trên diện rộng, phần lớn nhắm vào đường dẫn xử lý tiến trình tải lên phiên (session upload-progress) của PHP.
• Patchstack và Cloudflare cũng quan sát thấy các nỗ lực khai thác trong cùng ngày.
• Vega ghi nhận các cuộc tấn công thực tế dựa trên một PoC công khai.

Theo các nhà duy trì PHP, mọi cài đặt PHP có xử lý request web đều có nguy cơ bị khai thác, bao gồm PHP-FPM, Apache với mod_php, php-cgi, FrankenPHP và LiteSpeed.

Eduard Kovacs, tác giả bài báo gốc trên SecurityWeek

Lỗ hổng tồn tại hàng thập kỷ, AI giúp phát hiện

Hai lỗi PHP2Shell ảnh hưởng đến gần như mọi phiên bản PHP kể từ 5.4. Chúng còn có thể bị lợi dụng để đọc bộ nhớ tiến trình nhạy cảm, nơi có thể chứa thông tin đăng nhập, khóa API và các bí mật khác.

Nhóm nghiên cứu của Wiz, phối hợp cùng OpenAI và Calif, đã phát hiện các lỗ hổng này vào tháng 8 và giữ kín cho đến khi bản vá được phát triển và phân phối rộng khắp hệ sinh thái.

Theo Calif, một lỗi OOM ban đầu trong PHP được phát hiện từ năm 2020, rồi được phát hiện lại trong một đợt kiểm toán PHP năm 2024. Tuy nhiên, do chưa chứng minh được khả năng khai thác nên nó chưa được vá. Nhờ các mô hình AI tiên tiến, điểm yếu OOM được phân tích kỹ hơn và cuối cùng chuyển hóa thành RCE.

"Những phát hiện này nằm trong số các lỗ hổng nghiêm trọng nhất từng được tìm thấy trong PHP, và có thể nói là trong lịch sử phần mềm. Các lỗi gốc đã tồn tại hàng thập kỷ, nhưng để chứng minh khả năng khai thác cần một chuỗi bước vô cùng phức tạp, nằm ở giới hạn mà con người gần như không thể thực hiện được", Wiz nhận định.

Vì các lỗi bảo mật nằm ngay trong bản thân PHP, chúng ảnh hưởng đến 70% website trên toàn thế giới, bất kể họ dùng CMS nào.

"PHP là ngôn ngữ lập trình đứng sau phần lớn web, vận hành WordPress, Drupal và MediaWiki – phần mềm của Wikipedia. Một lỗ hổng trong lõi của nó có thể ảnh hưởng đến website trong toàn hệ sinh thái, ngay cả khi mã ứng dụng của họ an toàn", Wiz giải thích.

Theo PHP Foundation, AI đã giúp phát hiện nhiều lỗ hổng PHP hơn trước đây, với 15 CVE mới được công bố kể từ ngày 1/7.

Rò rỉ thông tin và lời cảnh báo sớm

Nhóm phát triển PHP dự định công bố có trách nhiệm vào ngày 22/10, nhưng thông tin bị rò rỉ trực tuyến từ ngày 20/10, buộc tổ chức này phải đẩy bản vá lên sớm hơn một ngày. Họ cũng phát hành thông báo trước, cảnh báo rằng các lỗi nghiêm trọng này cần được xử lý ngay lập tức.

Đáng chú ý, một video trình diễn PoC hoạt động được đăng nhầm trước thời hạn công bố, tiết lộ thêm chi tiết về hai điểm yếu và "góp phần đẩy nhanh việc phát triển nhiều PoC khác nhau".

Chưa dừng lại ở đó, Chainguard đã phát hành các image chứa bản vá mà họ nhận được trước 6 giờ so với thời điểm công bố phối hợp. PHP Foundation nhận định điều này khiến bất kỳ kẻ tấn công nào cũng có thể nghiên cứu bản vá ở dạng nhị phân trong khi người dùng PHP khác vẫn đang chờ bản phát hành.

Doanh nghiệp Việt Nam cần làm gì?

Với mức độ phổ biến của PHP trong các hệ thống website, ứng dụng nội bộ và nền tảng thương mại điện tử tại Việt Nam, đây là lỗ hổng mà các đội ngũ DevOps và an ninh thông tin cần ưu tiên xử lý ngay.

"Bản cập nhật bảo mật PHP khẩn cấp cho thấy các tổ chức có thể bị buộc phải phản ứng nhanh đến mức nào khi lỗ hổng nghiêm trọng trở nên công khai. Trước khi bản vá được phát hành, các nhóm cần đã biết PHP đang chạy ở đâu, ai có quyền phê duyệt thay đổi khẩn cấp và làm thế nào để xác nhận bản cập nhật đã hoạt động", Lee Rossey, đồng sáng lập kiêm CTO của SimSpace, lưu ý.

Các khuyến nghị cụ thể:

• Cập nhật ngay lên PHP 8.2.35, 8.3.36, 8.4.27 hoặc 8.5.12, hoặc bản backport tương ứng nếu còn vận hành phiên bản cũ.
• Kiểm tra log truy cập trong những ngày gần đây để tìm dấu hiệu dò quét bất thường, đặc biệt ở đường dẫn xử lý tải lên phiên.
• Trường hợp chưa thể vá, áp dụng các biện pháp giảm thiểu để hạn chế lộ diện trước một số đường tấn công cụ thể, nhưng cần hiểu rằng điều này không làm hệ thống an toàn.
• Xoay vòng thông tin bí mật (khóa API, mật khẩu cấu hình) nếu nghi ngờ hệ thống đã bị đọc bộ nhớ tiến trình.

Trước đó, Cloudflare đã triển khai lớp bảo vệ chống PHP2Shell trước 9 giờ so với thời điểm công bố công khai, cho thấy mức độ nghiêm trọng mà các ông lớn hạ tầng đánh giá về lỗ hổng này. Với doanh nghiệp Việt Nam, việc rà soát toàn bộ hệ thống chạy PHP không còn là lựa chọn mà là yêu cầu cấp thiết.