Phát hiện nỗ lực khai thác PHP2Shell 4 ngày trước khi công bố; Amazon khuyến nghị rà soát từ trước ngày công bố

Chuyện gì đã xảy ra?

Ngày 21/10/2026, nhóm an ninh mạng của Amazon báo cáo trên blog chính thức của AWS. Họ đã thấy các nỗ lực khai thác hai lỗ hổng "khẩn cấp" của PHP từ ngày 17/10, tức 4 ngày trước khi lỗ hổng được công bố. Đội phát triển PHP giữ kín chi tiết cho đến khi phát hành bản vá. Amazon cho rằng đây là kẻ tấn công, nhưng chưa biết họ lấy thông tin bằng cách nào.

Các con số và sự kiện chính

• Ngày 17/10/2026: lần đầu thấy nỗ lực tấn công, trước khi công bố 4 ngày.
• Ngày 21/10/2026: mã khai thác bắt đầu lan ra từ khoảng 11 giờ sáng (giờ Nhật), và có thêm nhiều nỗ lực tấn công đến khoảng 5 giờ chiều.
• Sau khi có bản vá, mã khai thác mới xuất hiện trong vài giờ.
• Amazon thấy lỗ hổng bị khai thác ngay sau bản vá, có khi chỉ trong vài phút đến vài giờ.

Vì sao chuyện này đáng chú ý?

PHP là ngôn ngữ lập trình rất phổ biến để làm trang web. Lỗ hổng là chỗ yếu trong phần mềm, kẻ xấu có thể lợi dụng để xâm nhập. Thông thường, các công ty có vài ngày hoặc vài tuần để vá lỗi. Nhưng nay AI có thể giúp kẻ xấu đọc bản vá và tạo mã tấn công rất nhanh.

Vì sao điều này quan trọng?

Giữ kín lỗ hổng chỉ giúp được một thời gian ngắn, vì người khác có thể tự tìm ra cùng lỗi. Amazon khuyên các đội bảo mật phải tính thời gian vá theo giờ, không theo ngày. Họ cũng nên kiểm tra hệ thống từ thời điểm kẻ xấu bắt đầu tấn công, không phải từ ngày công bố. Với PHP2Shell, nên kiểm tra từ ít nhất ngày 17/10 trở đi.

Cần theo dõi gì tiếp theo?

• Các công ty có vá kịp bản PHP mới không.
• Có thêm vụ tấn công lớn nào dùng PHP2Shell không.
• Các công ty kiểm tra hệ thống từ 17/10 có tìm thấy dấu hiệu xâm nhập không.