AI tác nhân đẩy nhanh khai thác lỗ hổng PHP2Shell trong các cuộc tấn công toàn cầu

Các mối đe dọa đang tận dụng các nền tảng trí tuệ nhân tạo dạng tác nhân (agentic AI) để đẩy nhanh các hoạt động hậu xâm nhập sau khi lợi dụng các lỗ hổng nghiêm trọng của PHP được biết đến với tên gọi PHP2Shell. Vào cuối tháng 10 năm 2026, các nhà nghiên cứu bảo mật đã quan sát thấy những cuộc tấn công có sự hỗ trợ của AI nhắm vào một thực thể chính phủ châu Âu, đánh dấu sự thay đổi đáng kể về tốc độ mà kẻ thù có thể di chuyển từ quyền truy cập ban đầu đến leo thang đặc quyền.

Chuyện gì đã xảy ra

Palo Alto Networks Unit 42 báo cáo rằng tin tặc đã khai thác CVE-2026-109618 và CVE-2026-109619 để giành quyền truy cập ban đầu vào một hệ thống chính phủ ở châu Âu. Chỉ trong vòng hai giờ sau vụ vi phạm ban đầu, tin tặc đã truy cập vào các hash mật khẩu và bí mật xác thực đa yếu tố. Họ tiếp tục thiết lập một đường hầm relay NT LAN Manager vào Active Directory và cố gắng leo thang đặc quyền lên cấp Domain Admin. Tốc độ và độ chính xác của các hành động này cho thấy sự tham gia của các công cụ AI tác nhân tự động hóa chứ không chỉ là thao tác thủ công của con người.

Đồng thời, CYFIRMA đã xác định một chiến dịch riêng biệt liên quan đến hệ sinh thái Lazarus Group, có khả năng xuất phát từ Triều Tiên. Nhóm này đã sử dụng cùng các lỗ hổng PHP2Shell để thăm dò cơ sở hạ tầng PHP toàn cầu từ 21 nút bị xâm nhập. Việc quét được thực hiện với chủ ý lưu lượng thấp và nhịp độ chậm nhằm tránh các hệ thống cảnh báo dựa trên ngưỡng. Các mục tiêu bao gồm 216 máy chủ chưa được vá lỗi tại nhiều quốc gia, trải rộng trong các lĩnh vực chính phủ, tài chính và hậu cần. Các nhà điều phối đã hợp tác thông qua một kênh I2P kín, sử dụng các tên đăng nhập (handle) liên quan đến các hoạt động bí mật trước đó.

Cách thức hoạt động

Các lỗ hổng PHP2Shell cho phép thực thi mã từ xa trong cấu hình PHP mặc định bằng cách khai thác các lỗi cấp phát bộ nhớ. Khi PHP phân tích tên trường biểu mẫu, nó sẽ tạo ra nhiều bản sao trong bộ nhớ. Tin tặc chế tạo một yêu cầu với tên trường có kích thước vừa khớp với phần thân dữ liệu được chấp nhận nhưng đủ lớn để vượt quá giới hạn bộ nhớ trong quá trình sao chép. Điều này buộc phải gặp lỗi cấp phát khi PHP cố gắng sao chép tên vào bảng băm, dẫn đến nguy cơ hỏng heap và thực thi mã. Để thành công, việc khai thác cũng cần vô hiệu hóa tính năng Random hóa bố cục không gian địa chỉ (Address Space Layout Randomization) để tìm ra các địa chỉ bộ nhớ hợp lệ.

Trong các cuộc tấn công có sự hỗ trợ của AI, giai đoạn hậu xâm nhập được đánh dấu bởi các chỉ số hành vi cụ thể. Tin tặc đưa ra các lệnh được bọc trong các ký tự phân tách kiểu tiêu đề mục như ==SHELLUSER== và ==PASSWD==. Những ký tự phân tách này tạo ra đầu ra có thể đọc được bởi máy, cho phép mô hình AI đọc kết quả và quyết định các bước tiếp theo. Tác nhân AI đã thực hiện trinh sát trên các cơ sở dữ liệu xác thực, truy vấn Active Directory qua LDAP và săn tìm các máy chủ nội bộ cũng như các nhóm đặc quyền, tự động hóa các bước xâm nhập thủ công truyền thống.

Chi tiết chính

• CVE-2026-109618 và CVE-2026-109619 là các lỗi thực thi mã từ xa nghiêm trọng trong cấu hình PHP mặc định.
• Các công cụ AI tác nhân đã được sử dụng để phân tích đầu ra lệnh và tự động hóa hoạt động trinh sát hậu xâm nhập trong vòng chưa đầy hai giờ.
• Một chiến dịch nghi ngờ do Triều Tiên thực hiện đã sử dụng phương pháp quét lưu lượng thấp từ 21 nút để nhắm mục tiêu vào 216 máy chủ chưa được vá lỗi trên toàn cầu.
• Các nhà điều phối liên quan đến Lazarus đã hợp tác qua I2P và sử dụng từ vựng đặc trưng của tiếng Triều Tiên (Munhwaŏ).
• Bitsight ước tính gần 37 triệu hệ thống hướng ra internet chạy PHP, với mức độ phơi nhiễm lớn tại Mỹ và châu Âu.
• Một lỗ hổng thứ ba, CVE-2026-115560, ảnh hưởng đến các ứng dụng thay đổi trình xử lý tuần tự hóa phiên (session serialize handlers) trong thời gian chạy.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và lãnh đạo CNTT, sự cố này làm nổi bật mối đe dọa kép từ các lỗ hổng nghiêm trọng trong thời gian chạy và các chuỗi tấn công được đẩy nhanh bởi AI. Các lỗ hổng PHP2Shell không thể được khắc phục bằng cách thay đổi mã ứng dụng hoặc quy tắc tường lửa ứng dụng web; chúng yêu cầu cập nhật môi trường thời gian chạy PHP trên chính máy chủ. Với hàng triệu hệ thống bị phơi nhiễm, cửa sổ thời gian để vá lỗi rất hẹp và hậu quả của sự chậm trễ là nghiêm trọng, như được minh chứng bởi sự xâm nhập nhanh chóng của thực thể chính phủ.

Việc sử dụng AI tác nhân thay đổi bài toán phòng thủ. Các phương pháp phát hiện truyền thống dựa vào việc nhận diện hành vi hacker thủ công có thể thất bại trước các tác nhân AI tạo ra đầu ra có cấu trúc, dễ đọc bởi máy và đưa ra các quyết định tự chủ. Các đội ngũ bảo mật hiện nay phải xem xét cách phát hiện không chỉ các chữ ký khai thác đã biết, mà còn cả các mẫu hành vi của các tác nhân tự động, chẳng hạn như việc sử dụng các ký tự phân tách cụ thể và các lệnh trinh sát tuần tự, nhanh chóng. Điều này chuyển trọng tâm từ phòng thủ biên sang giám sát sâu hơn trong thời gian chạy và phát hiện bất thường.

Bạn có thể làm gì

• Cập nhật PHP trên tất cả các máy chủ lên phiên bản mới nhất để vá ngay lập tức CVE-2026-109618 và CVE-2026-109619.
• Giám sát nhật ký để tìm kiếm chuỗi cụ thể: một yêu cầu POST trả về lỗi 500, tiếp theo là tình trạng cạn kiệt bộ nhớ PHP và sự cố sập worker Apache.
• Quét tìm sự hiện diện của các ký tự phân tách kiểu tiêu đề mục như ==SHELLUSER== trong đầu ra lệnh để phát hiện hoạt động có sự hỗ trợ của AI.
• Xem xét cấu hình phiên để đảm bảo session.serialize_handler không bị chuyển đổi trong thời gian chạy nếu không cần thiết, giúp giảm thiểu rủi ro từ CVE-2026-115560.
• Triển khai giới hạn tốc độ (rate-limiting) và phân tích hành vi để bắt các chiến dịch quét chậm và đều đặn (low-and-slow) có xoay vòng nút.
• Sử dụng các công cụ như trình quét của Xint để kiểm tra mức độ phơi nhiễm với PHP2Shell trên toàn bộ cơ sở hạ tầng của bạn.