PHP2Shell: Loạt lỗ hổng nghiêm trọng khiến cả ngành công nghệ và bảo mật đồng loạt phản ứng

Hai lỗ hổng nghiêm trọng mang tên PHP2Shell đang khiến toàn bộ ngành công nghệ và an ninh mạng phải vào cuộc. Trong khi nhiều nhà sản xuất phần mềm vẫn đang kiểm tra xem sản phẩm của mình có bị ảnh hưởng hay không, các hãng công nghệ, công ty bảo mật và cơ quan chính phủ đã đồng loạt công bố khuyến cáo, công cụ phát hiện và biện pháp giảm thiểu rủi ro.

Minh họa an ninh mạng và tường lửa

Lỗ hổng PHP2Shell nguy hiểm đến mức nào?

Hai lỗ hổng CVE-2026-109618 và CVE-2026-109619 cho phép kẻ tấn công chưa xác thực thực thi mã từ xa. Chúng được Wiz, OpenAI và Calif phát hiện vào tháng 8, và PHP đã khắc phục vào ngày 21/10 với các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35.

Đáng chú ý, PHP phát hành bản vá sớm hơn một ngày so với kế hoạch công bố, sau khi các mã CVE bắt đầu lan truyền trên mạng vào ngày 20/10.

Dấu hiệu bị khai thác xuất hiện từ rất sớm. Amazon cho biết nỗ lực khai thác đầu tiên diễn ra vào ngày 17/10, trước khi lệnh cấm công bố được gỡ bỏ. Hadrian, Patchstack và Cloudflare đều ghi nhận các nỗ lực tấn công trong những giờ trước khi bản vá được phát hành. WatchTowr thậm chí quan sát thấy tình trạng khai thác hàng loạt ngay sau khi bản vá ra mắt, dù các mã khai thác PoC đang lưu hành chưa đạt được mục tiêu thực thi mã.

Các hãng công nghệ rà soát và cập nhật PHP

Vì PHP được tích hợp vào rất nhiều phần mềm thương mại, thiết bị và dịch vụ đám mây, các doanh nghiệp trong ngành buộc phải kiểm tra mức độ phơi nhiễm của mình.

• Cisco đưa hơn 30 sản phẩm và dịch vụ đám mây vào diện rà soát, gồm Identity Services Engine, Catalyst Center, Catalyst SD-WAN Manager, Expressway, Umbrella, Webex và AppDynamics PHP Agent. Hãng cho biết hiện chưa có sản phẩm nào được xác nhận bị ảnh hưởng.
• Cisco Talos đã công bố các quy tắc phát hiện cho Snort. Đơn vị tình báo mối đe dọa này ước tính khoảng một nửa hệ thống PHP sẽ không được vá, đồng thời khuyến cáo mạnh mẽ những ai đang dùng PHP 8.1 trở về trước hãy nâng cấp lên 8.2 hoặc mới hơn ngay lập tức.
• Red Hat đánh giá mức độ nghiêm trọng nhẹ hơn NVD: cho cả hai lỗ hổng điểm 8.1 thay vì 9.8 và không xếp vào mức nghiêm trọng. Với CVE-2026-109618, hãng cho rằng "khai thác đáng tin cậy đòi hỏi thao tác heap chính xác và căn đúng thời điểm", đồng thời lưu ý "thực thi mã từ xa rất khó trong thực tế và thường yêu cầu hành vi không mặc định".
• Ubuntu phát hành bản vá cho mọi bản phát hành được hỗ trợ vào ngày 21/10, còn Debian xử lý các lỗ hổng trong bản bookworm và trixie.
• AWS khắc phục lỗ hổng trên Elastic Beanstalk, WorkMail, Amazon Linux và Amazon Lightsail.
• Google Cloud cho biết nền tảng không bị ảnh hưởng, nhưng các runtime PHP được hỗ trợ trong môi trường App Engine standard đã được cập nhật tự động.
• Trong nhóm bảng điều khiển hosting, cPanel, Plesk và DirectAdmin đều đã phát hành bản vá. cPanel và Plesk còn tung bản build sửa lỗi cho các nhánh PHP 7.4, 8.0 và 8.1 đã hết hỗ trợ.
• SolarWinds cho biết đã rà soát sản phẩm và tài sản hướng internet. "Pingdom có dùng PHP, nhưng chúng tôi đã triển khai các biện pháp kiểm soát bù trừ để bảo vệ sản phẩm", hãng nêu rõ và cho biết khách hàng không cần làm gì thêm.

Các công ty bảo mật tung công cụ phát hiện

Palo Alto Networks cho biết các bản phát hành PAN-OS sắp tới sẽ xử lý vấn đề, đồng thời chia sẻ các giải pháp tạm thời để khách hàng áp dụng trong lúc chờ. Hãng đánh giá tác động lên sản phẩm của mình ở mức nghiêm trọng cao với điểm CVSS 8.7, nhưng chưa ghi nhận cuộc tấn công nào nhắm vào họ.

Fortinet xác nhận hai chục sản phẩm, gồm FortiOS, FortiManager, FortiAnalyzer và FortiWeb, không bị ảnh hưởng. Hãng vẫn đang điều tra thêm nhiều sản phẩm khác.

Sophos phát hiện cổng MyUTM — dịch vụ cấp phép cũ mà họ vận hành cho sản phẩm SG UTM đã hết hỗ trợ — đang chạy phiên bản PHP có lỗ hổng. Công ty đã đưa cổng này ngừng hoạt động ngày 21/10 và đang cập nhật trước khi đưa trở lại.

CrowdStrike xác nhận qua thử nghiệm rằng chỉ một yêu cầu POST chưa xác thực là đủ để một tiến trình Apache mod_php khởi chạy shell và thực thi lệnh do kẻ tấn công chọn, mà không cần mã ứng dụng có lỗ hổng. Hãng đã bổ sung nội dung phát hiện PHP2Shell vào Falcon Next-Gen SIEM.

Broadcom, Qualys, Corelight, Datadog, Endor Labs, Huntress, Patchstack, Recorded Future, Sansec, SOCRadar và Tenable cũng đã công bố phân tích kỹ thuật cùng khuyến nghị khắc phục.

Chuyên gia phân tích an ninh mạng

Chính phủ cảnh báo về PHP "ẩn mình"

Các cơ quan chính phủ trên khắp thế giới đang gióng lên hồi chuông cảnh báo, đặc biệt về việc PHP thường nằm ẩn bên trong phần mềm khác.

CISA kêu gọi các tổ chức vá ngay lập tức, bắt đầu từ các hệ thống hướng internet, và cảnh báo rằng PHP thường được nhúng trong phần mềm khác nên sự hiện diện của nó có thể không dễ nhận thấy.

NCSC của Anh cho rằng hoạt động rà soát phải bao quát mọi bản cài PHP, không chỉ những bản lỗi thời, và các tổ chức nên theo dõi cập nhật từ nhà sản xuất thiết bị, dịch vụ có thể tích hợp sẵn PHP. Cơ quan này cũng khuyến nghị săn tìm backdoor mà kẻ tấn công có thể đã cài cắm trước khi bản vá được áp dụng.

NCSC Hà Lan đang theo dõi các phần mềm có khả năng bị ảnh hưởng phụ thuộc vào PHP trong một kho lưu trữ GitHub công khai.

CERT-EU kêu gọi cập nhật không chậm trễ và cô lập các ứng dụng hướng internet cho đến khi bản vá được áp dụng và xác minh. Trong tuyên bố chung với Ủy ban châu Âu, ENISA, Europol và mạng lưới các đội ứng phó sự cố quốc gia của EU, cơ quan này cảnh báo sản phẩm có thể bị ảnh hưởng ngay cả khi PHP chạy ngầm và không được sử dụng rõ ràng.

Trung tâm An ninh mạng Canada và BSI của Đức cũng đã phát đi cảnh báo tương tự.

Một số tổ chức chọn cách ngắt kết nối thay vì tiếp tục phơi nhiễm. Theo Reuters, nhiều website của chính phủ, trường học và bệnh viện tại châu Âu đã bị đưa xuống vào ngày 21/10.

Bài học rút ra cho các tổ chức tại Việt Nam: đừng chỉ rà soát những bản PHP lỗi thời. Hãy kiểm tra mọi nơi PHP có mặt, kể cả trong các thiết bị mạng, bảng điều khiển hosting và dịch vụ đám mây do bên thứ ba vận hành.

Lời khuyên cho doanh nghiệp và lập trình viên Việt Nam

Với các doanh nghiệp và đội ngũ phát triển tại Việt Nam đang vận hành hệ thống dùng PHP — một nền tảng vô cùng phổ biến ở nước ta với các website, ứng dụng nội bộ và hệ thống thương mại điện tử — đây là thời điểm cần hành động ngay:

• Nâng cấp PHP lên phiên bản 8.2.35, 8.3.36, 8.4.27 hoặc 8.5.12 trở lên càng sớm càng tốt.
• Rà soát toàn bộ tài sản hướng internet, kể cả những hệ thống tưởng như không liên quan đến PHP.
• Áp dụng các biện pháp kiểm soát bù trừ nếu chưa thể vá ngay, chẳng hạn tắt tính năng session upload-progress như Qualys đề xuất.
• Săn tìm dấu hiệu xâm nhập trong log hệ thống, đặc biệt trong giai đoạn từ 17/10 đến khi hoàn tất vá.
• Cảnh giác với PoC giả — JFrog đã lưu ý rằng các PoC giả mạo xuất hiện quanh thời điểm công bố lỗ hổng.

SecurityWeek

Sự kiện PHP2Shell một lần nữa cho thấy tốc độ khai thác hiện nay nhanh đến mức nào: các nỗ lực tấn công bắt đầu trước cả khi bản vá chính thức ra đời. Với những hệ thống phụ thuộc vào mã nguồn mở phổ biến như PHP, việc chủ động theo dõi cảnh báo và duy trì quy trình vá lỗi chặt chẽ không còn là lựa chọn, mà là yêu cầu bắt buộc.