Mã khai thác PHP2Shell vượt qua các lớp bảo vệ nhằm ngăn chặn thực thi mã từ xa

Chuyện gì đã xảy ra

Công ty VulnCheck đã phát triển một đoạn mã khai thác (exploit) cho lỗ hổng PHP2Shell. Đoạn mã này cho phép kẻ tấn công thực thi lệnh từ xa trên máy chủ. Theo công ty, đây có thể là lần đầu tiên làm được điều đó trên máy chủ x86-64 đã bật ASLR, với cấu hình sản xuất mà PHP khuyến nghị. VulnCheck chỉ cung cấp công cụ này cho khách hàng của dịch vụ tình báo truy cập ban đầu của họ.

Các con số và sự kiện chính

• Lỗ hổng chính là CVE-2026-109618, mức nghiêm trọng cao, dẫn đến thực thi mã từ xa (RCE).
• Lỗ hổng này đi cùng CVE-2026-109619 và được nhóm PHP Foundation công bố và vá hôm thứ Tư.
• Đoạn mã khai thác chạy trên PHP 8.4.26.
• Nhóm nghiên cứu thấy “hàng trăm” kho mã bằng chứng khái niệm trên GitHub, nhưng “rất ít” kho có mã khai thác thật sự hoạt động.
• Cách này cũng chạy trên ARM64, nhưng hiện chưa hoạt động trên hệ thống ARM.

ASLR là gì?

ASLR là một lớp bảo vệ có sẵn trong hệ điều hành. Nó xáo trộn vị trí các vùng dữ liệu quan trọng trong bộ nhớ mỗi lần chương trình chạy. Nhờ vậy, kẻ tấn công khó đoán đúng địa chỉ để chèn mã độc. Trước đây, ASLR là rào cản lớn khiến PHP2Shell khó bị khai thác trên máy chủ thật.

Vì sao điều này quan trọng

Nhiều người từng nghĩ ASLR và cấu hình an toàn sẽ đủ để chặn tấn công. Nghiên cứu này cho thấy điều đó không chắc đúng. Các chuyên gia khuyên tổ chức nên vá lỗi PHP ngay, thay vì chỉ dựa vào lớp bảo vệ bộ nhớ hay thay đổi cấu hình. Họ cũng cho rằng kẻ tấn công đang dành nhiều thời gian và công cụ cho lỗ hổng này.

Cần theo dõi điều gì

• Xem các máy chủ PHP có đang chạy phiên bản bị ảnh hưởng hay không và đã được vá chưa.
• Theo dõi xem đoạn mã khai thác có bị rò rỉ hoặc được dùng rộng rãi hơn không.
• Theo dõi việc hoạt động trên ARM64 có được sửa hay không.