CISA xác nhận các lỗ hổng PHP2Shell nghiêm trọng đang bị khai thác thực tế

Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) hôm thứ Hai đã xác nhận rằng các đối tượng tấn công đang tích cực khai thác hai lỗ hổng nghiêm trọng trong PHP, được gọi chung là PHP2Shell. Những lỗ hổng này cho phép thực thi mã từ xa mà không cần xác thực, đã được đưa vào danh mục Các lỗ hổng đã biết bị khai thác (KEV) của cơ quan này, báo hiệu nhu cầu cấp thiết phải khắc phục trên toàn bộ cơ sở hạ tầng web toàn cầu.

Chuyện gì đã xảy ra

Hai lỗ hổng, được định danh là CVE-2026-109618 và CVE-2026-109619, đều có mức độ nghiêm trọng 9.2 theo Hệ thống chấm điểm lỗ hổng phổ biến (CVSS). CVE-2026-109618 là vấn đề hỏng bộ nhớ ngoài giới hạn (out-of-memory corruption), trong khi CVE-2026-109619 liên quan đến việc xử lý trạng thái yêu cầu nội bộ cũ kỹ (stale internal request-state). Cả hai đều cho phép kẻ tấn công thực thi mã tùy ý trên các máy chủ bị ảnh hưởng mà không cần xác thực trước đó.

Việc xác nhận khai thác thực tế dựa trên bằng chứng thu thập bởi Adel Karimi, trưởng nhóm phát hiện và phản hồi tại Perplexity. Vào ngày 24 tháng 10 năm 2026, Karimi đã quan sát thấy các nỗ lực thực thi mã từ xa thành công nhắm vào các hệ thống honeypot. Các cuộc tấn công không chỉ gây ra sự cố sập hệ thống; chúng dẫn đến rò rỉ bộ nhớ có thể sử dụng được. Karimi lưu ý rằng chuỗi khai thác đã cung cấp một bản dump cookie đã giải mã dung lượng 800 KiB, với các địa chỉ hàm lấy từ bản dump đó xuất hiện trong các payload thực thi tiếp theo. Bằng chứng này cụ thể minh họa chuỗi tấn công trên hồ sơ mod_php một worker đơn lẻ, mặc dù độ tin cậy có thể khác nhau giữa các cấu hình khác nhau.

Để ứng phó với những mối đe dọa này, đội ngũ phát triển PHP đã phát hành các phiên bản được vá lỗi vào ngày 21 tháng 10 năm 2026. Các cơ quan liên bang được yêu cầu áp dụng những bản sửa lỗi này trước ngày 29 tháng 10 năm 2026. Tuy nhiên, quy mô phơi nhiễm vẫn rất lớn. PHP cung cấp năng lượng cho khoảng 70% tất cả các trang web, và ước tính từ Censys cho thấy hơn 32,51 triệu dịch vụ PHP vẫn đang chạy các phiên bản dễ bị tổn thương.

Cách thức hoạt động

Những lỗ hổng này khai thác các vấn đề sâu xa trong cách PHP quản lý bộ nhớ và trạng thái yêu cầu. CVE-2026-109618 lợi dụng tình trạng hỏng bộ nhớ ngoài giới hạn, một điều kiện mà phần mềm không xử lý đúng các lỗi cấp phát bộ nhớ, cho phép kẻ tấn công ghi đè lên các vị trí bộ nhớ liền kề. CVE-2026-109619 khai thác dữ liệu trạng thái yêu cầu nội bộ cũ kỹ, nơi dữ liệu còn sót lại từ các yêu cầu trước đó được xử lý không đúng cách, tạo ra cửa sổ để chèn hoặc thực thi mã.

Quá trình khai thác bao gồm việc gửi các yêu cầu được chế tác đặc biệt để kích hoạt các lỗi quản lý bộ nhớ này. Khi sự hỏng hóc bộ nhớ hoặc nhầm lẫn trạng thái xảy ra, kẻ tấn công có thể chèn mã độc vào luồng thực thi của máy chủ. Trong các trường hợp được quan sát, điều này dẫn đến việc dump dữ liệu nhạy cảm như cookie và suy ra các địa chỉ hàm, những thông tin sau đó được dùng để ổn định khai thác và duy trì quyền truy cập bền vững. Kỹ thuật này hoàn toàn bỏ qua các cơ chế xác thực tiêu chuẩn, trao cho kẻ tấn công toàn quyền kiểm soát máy chủ bị xâm nhập.

Chi tiết chính

• ID Lỗ hổng: CVE-2026-109618 (hỏng bộ nhớ ngoài giới hạn) và CVE-2026-109619 (trạng thái yêu cầu nội bộ cũ kỹ).
• Mức độ nghiêm trọng: Cả hai lỗ hổng đều được đánh giá 9.2 trên thang CVSS, chỉ ra rủi ro nghiêm trọng.
• Phiên bản đã vá: Các bản sửa lỗi có sẵn trong PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35, phát hành vào ngày 21 tháng 10 năm 2026.
• Khai thác thực tế: Được xác nhận bởi nhà nghiên cứu Adel Karimi của Perplexity vào ngày 24 tháng 10 năm 2026, thông qua phân tích honeypot.
• Phơi nhiễm: Hơn 32,51 triệu dịch vụ PHP được ước tính đang chạy các phiên bản bị ảnh hưởng.
• Rủi ro bổ sung: Các bản build Windows cũng đối mặt với CVE-2026-111497, một lỗ hổng bộ giải mã Brotli đã được vá trong các bản cập nhật gần đây.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và lãnh đạo IT, việc sử dụng rộng rãi PHP có nghĩa là một phần đáng kể cơ sở hạ tầng backend của internet hiện đang gặp rủi ro. Việc thêm những lỗ hổng này vào danh mục KEV của CISA là một chỉ báo mạnh mẽ rằng các cơ quan liên bang và doanh nghiệp lớn sẽ ưu tiên vá lỗi, nhưng số lượng dịch vụ bị phơi nhiễm quá lớn cho thấy nhiều tổ chức nhỏ hơn và hệ thống cũ vẫn còn dễ bị tổn thương. Khả năng thực thi mã mà không cần xác thực khiến những lỗ hổng này đặc biệt nguy hiểm, vì chúng không đòi hỏi phải đánh cắp thông tin đăng nhập hay kỹ thuật xã hội để khởi động cuộc tấn công.

Bản chất kỹ thuật của phương pháp khai thác, liên quan đến hỏng bộ nhớ và quản lý trạng thái, làm nổi bật sự phức tạp trong việc bảo mật các ngôn ngữ kịch bản phía máy chủ. Nó cũng nhấn mạnh tầm quan trọng của việc giữ cho các môi trường runtime luôn được cập nhật. Với các nhà cung cấp như WordPress, Drupal, Cisco và IBM ban hành các khuyến nghị an ninh, hiệu ứng lan truyền mở rộng vượt ra ngoài chỉ các cài đặt PHP sang bất kỳ sản phẩm hoặc dịch vụ nào nhúng hoặc phụ thuộc vào PHP. Việc không vá lỗi có thể dẫn đến xâm nhập hoàn toàn máy chủ, trộm cắp dữ liệu và khả năng di chuyển ngang trong các mạng doanh nghiệp.

Bạn có thể làm gì

• Nâng cấp PHP ngay lập tức: Chuyển sang PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35 nếu bạn đang chạy phiên bản cũ hơn.
• Kiểm tra các bản build Windows: Nếu bạn sử dụng PHP trên Windows, hãy đảm bảo bạn đã cài đặt các bản build được cập nhật (ví dụ: 8.5.12-1) để giải quyết lỗ hổng bộ giải mã Brotli CVE-2026-111497.
• Kiểm toán các phụ thuộc: Xem xét bất kỳ ứng dụng bên thứ ba hoặc nền tảng CMS nào (như WordPress hoặc Drupal) để đảm bảo chúng tương thích với các phiên bản PHP đã được vá và cập nhật chúng accordingly.
• Giám sát nhật ký: Tìm kiếm các dấu hiệu sử dụng bộ nhớ bất thường, spawn process không mong muốn hoặc xuất dữ liệu lớn có thể chỉ ra nỗ lực khai thác đang diễn ra.
• Tắt các tính năng không cần thiết: Nếu có thể, tắt tính năng tự động giải nén phản hồi HTTP trong các extension cURL, vì điều này có thể giảm thiểu rủi ro liên quan đến lỗ hổng Brotli trên Windows.
• Áp dụng bản vá của nhà cung cấp: Kiểm tra các khuyến nghị an ninh từ các nhà cung cấp phần cứng và phần mềm được liệt kê trong phản hồi toàn cầu, chẳng hạn như F5, Citrix và Siemens, và áp dụng các bản sửa lỗi được khuyến nghị của họ.