KR — 전자신문

Phát hiện kế hoạch tấn công khai thác lỗ hổng PHP, liên quan đến nhóm hacker Triều Tiên được chú ý

Bảo mật24 tháng 10, 20262 phút đọc

Các nhà nghiên cứu bảo mật cho biết một nhóm người nói tiếng Hàn đang lên kế hoạch tấn công các máy chủ web bằng một lỗi mới trong PHP, một ngôn ngữ lập trình web phổ biến. Một số dấu hiệu chỉ về nhóm hacker Lazarus của Triều Tiên, nhưng mối liên hệ này chưa được xác nhận.

Chuyện gì đã xảy ra?

Công ty an ninh mạng CYFIRMA có trụ sở tại Singapore đã tìm thấy dấu hiệu rằng một số thành viên nói tiếng Hàn trong một nhóm đang chuẩn bị tấn công. Họ thảo luận kế hoạch trên I2P, một mạng kín giúp che giấu danh tính người dùng. Kế hoạch dùng một lỗi mới tên là PHP2Shell. Lỗi này cho phép kẻ tấn công chạy lệnh trên máy chủ từ xa mà không cần đăng nhập. Nhóm này được cho là định nhắm vào máy chủ trên khắp thế giới, bắt đầu từ các cơ quan chính phủ và ngân hàng.

Các con số và sự kiện chính

Lỗi PHP2Shell có hai mã CVE: CVE-2026-109618 và CVE-2026-109619.
Điểm mức độ nghiêm trọng CVSS là 9,2 trên thang 10.
Mục tiêu gồm cơ quan chính phủ, ngân hàng, sản xuất, vận chuyển, sân bay, sàn thương mại điện tử, công ty giao dịch và công ty xây dựng.
Khu vực bị nhắm tới gồm Hàn Quốc, Mỹ, Nhật Bản, Úc, Đài Loan, Ấn Độ, Singapore, UAE, Ả Rập Xê Út và EU.
Nhà phát triển PHP phát hành bản cập nhật bảo mật vào ngày 21. Ngày 22, Bộ Khoa học và CNTT Hàn Quốc cùng KISA ra cảnh báo 'thận trọng'.

Vì sao PHP quan trọng?

PHP là một trong những ngôn ngữ được dùng nhiều nhất để xây dựng website. Vì vậy, một lỗi trong PHP có thể ảnh hưởng đến rất nhiều máy chủ cùng lúc. CYFIRMA cũng cho biết nhóm này đã dùng AI. Họ thu thập mã tấn công công khai, dùng mô hình AI riêng để xếp hạng mục tiêu, và thử mã trong môi trường được kiểm soát trước khi tấn công thật. CYFIRMA đặt tên chiến dịch là 'June 2026 Minjun'.

Vì sao chuyện này quan trọng?

Lỗi này rất nguy hiểm vì kẻ tấn công có thể chiếm quyền điều khiển máy chủ mà không cần mật khẩu. Các công ty nên cập nhật PHP càng sớm càng tốt. Còn mối liên hệ với Triều Tiên vẫn chưa chắc chắn. CYFIRMA chỉ đánh giá độ tin cậy ở mức 'trung bình'. Căn cứ của họ là việc dùng tiếng Hàn, nhắm vào chính phủ và ngân hàng, và cách tấn công giống các công cụ cũ của Lazarus. Hiện chưa tìm thấy mã độc hay hạ tầng tấn công nào được dùng chung. Chuyên gia nói rằng rủi ro là có thật, nhưng vai trò của Triều Tiên cần được kiểm tra thêm.

Cần theo dõi điều gì?

Có vụ tấn công nào dùng PHP2Shell nhắm vào các mục tiêu đã nêu hay không.
Có bằng chứng mới nào nối nhóm này với Lazarus, chẳng hạn mã độc hoặc máy chủ dùng chung hay không.
Các công ty và người quản lý website cài bản cập nhật PHP nhanh đến mức nào.

Chú giải

CYFIRMA: Công ty an ninh mạng ở Singapore, chuyên theo dõi và cảnh báo các mối đe dọa mạng.
PHP: Ngôn ngữ lập trình dùng phổ biến để xây dựng website và chạy trên máy chủ.
Lazarus: Nhóm hacker được cho là có liên hệ với Triều Tiên, từng tấn công nhiều tổ chức trên thế giới.
CVE: Mã định danh chung cho một lỗ hổng bảo mật đã được ghi nhận, giúp mọi người dễ tra cứu.
CVSS: Thang điểm đo mức độ nghiêm trọng của lỗ hổng bảo mật, từ 0 đến 10.
I2P: Mạng kín giúp người dùng che giấu danh tính và địa chỉ khi truy cập internet.

Cùng một tin, nhiều góc nhìn

Người hoài nghiAI

Chỉ dẫn tiếng Hàn chưa đủ, trùng hạ tầng mới là chìa khóa

Việc báo cáo nêu mức tin cậy "trung bình" cho liên hệ với Triều Tiên giúp mình biết nên đặt nặng nhẹ thế nào. Chỉ dẫn bằng tiếng Hàn và mục tiêu là chính phủ, tài chính khá khớp, nhưng nhiều nhóm khác cũng có thể để lại dấu vết tương tự. Nếu có bằng chứng trùng mã độc hoặc hạ tầng tấn công với Lazarus thì sẽ thuyết phục hơn nhiều, và điều này vẫn chưa được công bố. Trong lúc đó, dù ai đứng sau, cài bản cập nhật PHP phát hành ngày 21 vẫn là bước nên làm.

Kỹ sưAI

Mã khai thác công khai được AI xếp hạng và thử trước

Nhìn bằng con mắt của một kỹ sư, điều thú vị là quy trình khá bài bản: thu thập mã PoC công khai, dùng mô hình AI riêng để xếp thứ tự ưu tiên, rồi thử trong môi trường kiểm soát trước. Lỗ hổng cho phép chạy lệnh từ xa mà không cần đăng nhập rất dễ lan rộng, nên thách thức lớn nhất với bên phòng thủ có lẽ là vá lỗi nhanh trên vô số máy chủ khác nhau. Đội PHP đã phát hành bản vá ngày 21 và cơ quan Hàn Quốc cảnh báo ngày 22, còn số máy chủ thực sự đã cập nhật thì vẫn chưa được công bố.

Địa chính trịAI

Cuộc đua giữa bản vá và khai thác, nay có AI rút ngắn

Nhìn từ góc độ địa chính trị công nghệ, khoảng cách từ lúc có bản vá đến lúc bị khai thác thật đang trở thành chiến trường quan trọng nhất. Mã PoC công khai ai cũng dùng được, và việc AI xếp thứ tự ưu tiên rồi thử nghiệm trong môi trường kiểm soát như CYFIRMA mô tả có thể rút ngắn khoảng cách đó hơn nữa, nên bên phòng thủ và bên tấn công đang chạy theo cùng một chiếc đồng hồ. Danh sách mục tiêu gồm chính phủ, ngân hàng, vận tải biển, sân bay và công ty thương mại trải dài từ châu Á, vùng Vịnh đến châu Âu giống như tấm bản đồ các điểm nghẽn của chuỗi cung ứng, còn mức tin cậy 'trung bình' về mối liên hệ với Lazarus nhắc rằng chỉ riêng việc dùng tiếng Hàn có thể phục vụ nhiều lợi ích khác nhau. Tốc độ các tổ chức áp dụng bản vá PHP phát hành ngày 21 thì hiện vẫn chưa được biết.

Cùng chủ đề

Bảo mật전자신문26 thg 10

Tioli công bố hướng dẫn ứng phó khẩn cấp cho lỗ hổng 'Node2Shell'

Tioli cho biết ngày 26 đã tự tái hiện và xác minh lỗ hổng bảo mật Node.js 'Node2Shell (CVE-2026-111497)', được công bố ngày 21, và phát hành hướng dẫn ứng phó. Nguyên nhân là lỗi xử lý bộ nhớ khi giải nén dữ liệu nén Brotli, và Node.js xếp mức độ rủi ro ở mức 'Cao'. Các phiên bản đã vá gồm 22.23.4, 24.22.1 và 26.12.1.

Bảo mật전자신문26 thg 10

Logpresso ra mắt 'PHP2Shell Scanner' để kiểm tra lỗ hổng trong mạng nội bộ

Logpresso đã phát hành ứng dụng 'PHP2Shell Scanner' để chẩn đoán lỗ hổng thực thi mã từ xa trong PHP có tên PHP2Shell. Công cụ này có thể quét cả website công khai lẫn các hệ thống dựa trên PHP chạy trong mạng nội bộ.

Bảo mậtVnExpress26 thg 10

Mối nguy từ các thiết bị AI 'luôn lắng nghe'

Các thiết bị 'sẵn sàng chờ lệnh' như loa thông minh, smartwatch và kính AI có thể thu thập dữ liệu, làm dấy lên lo ngại về quyền riêng tư. Theo dữ liệu Omdia dẫn lại bởi Reuters, lượng kính AI xuất xưởng toàn cầu tăng từ 2,1 triệu chiếc năm 2024 lên 8,4 triệu chiếc năm 2025. Chuyên gia cảnh báo người xung quanh cũng có thể bị giám sát dù không sở hữu thiết bị, và AI có thể diễn giải lượng thông tin lớn hơn nhiều so với trợ lý giọng nói đời trước.

Bảo mật전자신문26 thg 10

Deepfake trong bầu cử toàn cầu tăng 27%; Hàn Quốc đứng thứ 3 về tổng số ca

Theo nghiên cứu của Surfshark, số ca deepfake bầu cử được báo cáo trên toàn thế giới từ tháng 1 đến tháng 9 năm nay đã vượt 27% so với tổng năm ngoái. Hàn Quốc đứng thứ ba thế giới về số ca tích lũy với 16 ca kể từ năm 2021, sau Mỹ và Ấn Độ. Nghiên cứu ghi nhận 235 ca tại 46 quốc gia từ tháng 1/2020 đến tháng 9/2026.