Cuộc tấn công PHP2Shell hỗ trợ bởi AI chiếm quyền root 25 máy chủ, bao gồm cả hệ thống chính phủ Mỹ

Các nhà nghiên cứu an ninh mạng tại Dream đã tiết lộ một chiến dịch tấn công mạng tinh vi, được hỗ trợ bởi AI, được ghi nhận vào ngày 25 tháng 10 năm 2026. Một mối đe dọa nghi ngờ có nguồn gốc từ Trung Quốc đã khai thác chuỗi lỗ hổng PHP2Shell để xâm phạm 25 máy chủ, trong đó có ba máy chủ nằm trong môi trường liên quan đến chính phủ Hoa Kỳ.

Chuyện gì đã xảy ra

Cuộc tấn công nhắm mục tiêu vào các tường lửa kết nối internet chạy những phiên bản cụ thể của phần mềm từ một nhà cung cấp lớn, mặc dù tên của nhà cung cấp này không được công bố rộng rãi. Dream đã thông báo cho thực thể bị ảnh hưởng. Cuộc xâm nhập bắt đầu bằng việc khai thác hai lỗ hổng riêng biệt: PHP2Shell (CVE-2026-109618 và CVE-2026-109619) và Fragnesia (CVE-2026-46300). PHP2Shell cho phép thực thi mã từ xa mà không cần xác thực với điểm CVSS là 9.2, trong khi Fragnesia là một lỗi leo thang đặc quyền cục bộ trên kernel Linux với điểm số 7.8.

Kẻ tấn công không sử dụng mã khai thác công khai. Thay vào đó, chúng triển khai một bản build tùy chỉnh, không công khai, được thiết kế riêng cho nền tảng tường lửa mục tiêu. Bản triển khai tùy chỉnh này nhắm vào cơ chế session.upload_progress của PHP trên máy chủ quản lý appweb của tường lửa. Hệ điều hành chạy PHP 8.0.30 với giới hạn bộ nhớ cao, tạo điều kiện thuận lợi cho các giai đoạn làm hỏng bộ nhớ cần thiết cho cuộc tấn công. Sau khi giành được quyền truy cập ban đầu, kẻ tấn công đã sử dụng lỗ hổng kernel Fragnesia để leo thang đặc quyền lên root.

Sau khi chiếm quyền root các hệ thống, kẻ tấn công tập trung vào ba máy chủ trong mạng lưới liên quan đến chính phủ Hoa Kỳ. Chúng thiết lập một đường hầm SSH ngược bền vững từ tường lửa bị xâm phạm đến hạ tầng của mình, cho phép tiếp cận một máy chủ quản lý nội bộ không trực tiếp kết nối với internet. Kẻ tấn công sau đó di chuyển ngang để nhắm mục tiêu vào Active Directory, cố gắng giải mã mật khẩu tài khoản dịch vụ LDAP, liệt kê người dùng và thực hiện tấn công dò mật khẩu (password spraying). Hiện vẫn chưa rõ liệu các thông tin đăng nhập hợp lệ có được trích xuất thành công hay các tài khoản cửa hậu (backdoor) có được tạo ra hay không.

Cách thức hoạt động

Chiến dịch này phụ thuộc rất nhiều vào trí tuệ nhân tạo để tăng cường quá trình phát triển và thực thi cuộc tấn công. Các dấu vết pháp y cho thấy sự cài đặt Claude Code của Anthropic trong hạ tầng tấn công. Ngoài ra, kẻ tấn công còn sử dụng các khóa API cho FOFA, một công cụ tìm kiếm cho các thiết bị kết nối internet, và một nền tảng bảo mật tấn công dựa trên AI có tên là aiscan. Nền tảng này được cấu hình với các mô hình ngôn ngữ lớn từ DeepSeek và Kimi. Sự nhất quán trong cấu trúc mã và phong cách viết chú thích trên gần 40 script cho thấy các công cụ AI đã được sử dụng để tạo và tinh chỉnh mã khai thác.

Cuộc tấn công tuân theo một quy trình sàng lọc có hệ thống. Đầu tiên, kẻ tấn công sử dụng FOFA để xác định khoảng 19.000 tường lửa kết nối internet với giao diện quản lý bị lộ. Một trình quét phiên bản tùy chỉnh sau đó kiểm tra các thiết bị này, với khoảng 5.000 thiết bị phản hồi kèm thông tin phiên bản. Kẻ tấn công lọc danh sách này theo địa lý, tập trung vào Hoa Kỳ, Nhật Bản, Đài Loan và Hàn Quốc, và thu hẹp hơn nữa xuống các hệ thống chạy PHP 8.0.30. Quá trình này mang lại 240 mục tiêu giá trị cao.

Một trình chạy hàng loạt tự động sau đó thực thi chuỗi khai thác PHP2Shell-Fragnesia chống lại 240 mục tiêu này. Script cài đặt một web shell PHP, xác minh quyền root và ghi nhật ký các vụ xâm phạm thành công. Tính tự động hóa này cho phép kẻ tấn công chiếm quyền root 24 máy chủ một cách hiệu quả trước khi chuyển hướng thủ công sang các mục tiêu liên quan đến chính phủ cụ thể để thâm nhập sâu hơn.

Chi tiết chính

• Cuộc tấn công kết hợp PHP2Shell (CVE-2026-109618/109619) để thực thi mã từ xa và Fragnesia (CVE-2026-46300) để leo thang đặc quyền.
• Các công cụ AI bao gồm Claude Code, aiscan, DeepSeek và Kimi đã được sử dụng để phát triển và quản lý các script khai thác tùy chỉnh.
• Khoảng 19.000 tường lửa đã được quét, dẫn đến 25 máy chủ bị chiếm quyền root trải dài khắp Hoa Kỳ, Nhật Bản, Đài Loan và Hàn Quốc.
• Kẻ tấn công thiết lập một đường hầm SSH ngược bền vững để truy cập vào máy chủ quản lý tường lửa nội bộ không trực tiếp kết nối với internet.
• Các hoạt động sau khai thác bao gồm liệt kê Active Directory, nỗ lực giải mã mật khẩu LDAP và tấn công dò mật khẩu.
• Mã khai thác tùy chỉnh nhắm vào cơ chế session.upload_progress của PHP 8.0.30, tận dụng các giới hạn bộ nhớ cao để gây hỏng bộ nhớ.

Tại sao điều này quan trọng

Sự cố này làm nổi bật vai trò ngày càng tăng của AI trong việc hạ thấp rào cản gia nhập đối với việc phát triển các mã khai thác phức tạp. Mặc dù PHP2Shell từng được coi là khó khai thác trong thực tế do yêu cầu về các offset bộ nhớ cụ thể từ libphp.so, sự hỗ trợ của AI đã cho phép kẻ tấn công tạo ra một vũ khí hóa tùy chỉnh, đáng tin cậy phù hợp với một bản build cụ thể. Điều này thách thức giả định rằng các lỗ hổng ít phổ biến hoặc khó khai thác cung cấp đủ sự an toàn thông qua tính mơ hồ hoặc độ phức tạp.

Đối với các kỹ sư phần mềm và trưởng nhóm bảo mật, vụ rò rỉ nhấn mạnh rủi ro từ các giao diện quản lý bị lộ. Ngay cả khi một thiết bị là công cụ bảo mật biên như tường lửa, lớp quản lý của nó vẫn có thể trở thành điểm xâm nhập vào hạ tầng danh tính quan trọng như Active Directory. Khả năng của kẻ tấn công chuyển hướng từ một tường lửa bị chiếm quyền root sang các máy chủ nội bộ thông qua đường hầm ngược chứng minh rằng các biện pháp phòng thủ biên đơn thuần là không đủ nếu thiếu phân tách mạng nội bộ và giám sát chặt chẽ.

Bạn có thể làm gì

• Kiểm toán tất cả các giao diện quản lý kết nối internet và đảm bảo chúng không bị lộ ra internet công cộng trừ khi hoàn toàn cần thiết.
• Xác minh rằng tường lửa và hệ điều hành máy chủ của bạn không chạy PHP 8.0.30 hoặc các phiên bản khác dễ bị tổn thương bởi CVE-2026-109618 và CVE-2026-109619.
• Áp dụng các bản vá cho lỗ hổng kernel Fragnesia (CVE-2026-46300) để ngăn chặn leo thang đặc quyền cục bộ nếu quyền truy cập ban đầu bị đánh cắp.
• Giám sát các kết nối SSH outbound bất thường, đặc biệt là các đường hầm ngược, vì chúng có thể chỉ ra một máy chủ bị xâm phạm đang giao tiếp với hạ tầng bên ngoài.
• Xem xét nhật ký Active Directory để tìm dấu hiệu của các nỗ lực giải mã tài khoản dịch vụ LDAP, liệt kê người dùng hoặc tấn công dò mật khẩu.
• Triển khai phân tách mạng nghiêm ngặt để ngăn các thiết bị biên bị xâm phạm truy cập vào các máy chủ quản lý nội bộ và hệ thống danh tính.