UK — The Register
CISA xác nhận PHP2Shell đang bị tấn công khi các nhà nghiên cứu ghi nhận khai thác thành công
Bảo mật2 phút đọc
Cơ quan an ninh mạng Mỹ CISA xác nhận hai lỗi nghiêm trọng trong PHP, tên là PHP2Shell, đang bị tin tặc khai thác thật. Các nhà nghiên cứu cũng ghi nhận tin tặc đã chiếm được quyền điều khiển máy chủ.
Chuyện gì đã xảy ra?
CISA, cơ quan giám sát an ninh mạng của chính phủ Mỹ, đã xác nhận hai lỗi PHP2Shell đang bị tấn công. Ngày 27/10/2026, CISA đưa hai lỗi CVE-2026-109618 và CVE-2026-109619 vào danh sách các lỗ hổng đã bị khai thác. Các cơ quan liên bang phải vá lỗi trước ngày 29/10. Tuần trước, CISA mới chỉ cảnh báo về mối nguy, chưa thấy ai khai thác thành công.
Các con số chính
- Hai lỗi đều có điểm CVSS 9,2 trên thang 10, mức rất nghiêm trọng.
- Kẻ xấu có thể chạy mã trên máy chủ PHP mà không cần đăng nhập.
- Bản vá ra ngày 21/10, nhưng AWS đã thấy tin tặc thử tấn công từ ngày 17/10.
- Ngày 24/10, nhà nghiên cứu Adel Karimi ghi nhận 35 lần chiếm được shell thành công trên ba bẫy mồi (honeypot), đến từ hai địa chỉ IP.
- Viện Threat Intelligence Lab của Đại học Delft ghi nhận hơn 50.000 yêu cầu khai thác từ hơn 600 địa chỉ IP ở 70 quốc gia. Trong đó, 171 địa chỉ đã gửi mã khai thác hoặc phần mềm độc hại.
Vì sao chuyện này đáng chú ý?
PHP là ngôn ngữ lập trình được rất nhiều website dùng. Vì vậy, một lỗi trên PHP có thể ảnh hưởng đến rất nhiều máy chủ. Một số báo cáo ban đầu về các vụ tấn công thành công sau đó đã được rút lại. Sophos nhận ra hoạt động họ thấy chỉ là quét và các lần thử thất bại. Palo Alto Networks cũng rút lại cáo buộc liên kết lỗi này với một vụ xâm nhập vào cơ quan chính phủ châu Âu.
Vì sao điều này quan trọng?
Lỗi này có thể cho kẻ xấu quyền điều khiển máy chủ từ xa. Nếu quản trị viên chưa vá, máy chủ của họ có thể bị xâm nhập. CISA không nói rõ tổ chức nào đã bị tấn công, cũng không nói có bao nhiêu hệ thống thật sự bị xâm nhập. Vì thế, mọi người dùng PHP nên kiểm tra và cập nhật ngay.
Cần theo dõi điều gì?
- Hạn chót vá lỗi cho cơ quan liên bang Mỹ là ngày 29/10.
- Quản trị viên nên nâng cấp lên PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35, tùy nhánh phát hành đang dùng.
- Những ai đang dùng phiên bản PHP cũ, không còn được hỗ trợ, cần nâng cấp hoặc tìm cách bảo vệ khác.
- Xem CISA có công bố thêm chi tiết về các vụ tấn công hay không.
Chú giải
- PHP
- Ngôn ngữ lập trình dùng để tạo website và chạy trên máy chủ.
- CISA
- Cơ quan an ninh mạng của chính phủ Mỹ, theo dõi và cảnh báo về các mối đe dọa mạng.
- CVSS
- Thang điểm đánh giá mức độ nghiêm trọng của lỗ hổng bảo mật, từ 0 đến 10.
- Threat Intelligence Lab
- Phòng nghiên cứu của Đại học Delft, chuyên theo dõi và phân tích các mối đe dọa mạng.