Báo cáo khẩn: Lỗ hổng PHP, Node.js và làn sóng tấn công chuỗi cung ứng ngày 21/10

• Cảnh báo khẩn cấp: Các lỗ hổng RCE nghiêm trọng trên PHP (PHP2Shell) và Node.js đang bị khai thác tích cực.
• Tấn công chuỗi cung ứng: Gói phần mềm LiteLLM trên PyPI bị nhiễm mã độc đánh cắp thông tin xác thực.
• Hệ quả diện rộng: Các tổ chức cần rà soát hệ thống VPN, chứng chỉ số và thực hiện quy trình xoay vòng khóa bảo mật ngay lập tức.

Ngày 21 tháng 10 năm 2026 đã trở thành một cột mốc đáng báo động đối với cộng đồng an ninh mạng toàn cầu khi hàng loạt lỗ hổng nghiêm trọng được công bố cùng lúc với các chiến dịch tấn công đang diễn ra. Các đội ngũ vận hành hệ thống cần ưu tiên xác định các dịch vụ bị ảnh hưởng, triển khai bản vá và thực hiện điều tra dấu vết xâm nhập (Forensics) để đảm bảo kẻ tấn công không duy trì quyền truy cập thông qua các backdoor đã được cài đặt.

Lỗ hổng nghiêm trọng trên các nền tảng Web

Các nền tảng phát triển web phổ biến đã ghi nhận những lỗ hổng bảo mật nghiêm trọng, đặc biệt là PHP và Node.js. Việc cập nhật phiên bản mới nhất là yêu cầu bắt buộc để ngăn chặn các cuộc tấn công thực thi mã từ xa (RCE).

PHP2Shell: CVE-2026-109618 và CVE-2026-109619

Hai lỗ hổng này, được định danh là PHP2Shell, có điểm CVSS lên tới 9.2. Chúng cho phép kẻ tấn công không cần xác thực vẫn có thể thực thi mã từ xa trên các cấu hình bị ảnh hưởng. Cơ chế lỗi bao gồm việc hỏng bộ nhớ khi thực hiện các thao tác quá tải và khả năng truy cập vào dữ liệu không hợp lệ từ các yêu cầu trước đó.

Quản trị viên cần triển khai ngay các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35. Sau khi cập nhật, cần khởi động lại các dịch vụ web và xác nhận rằng các tiến trình web worker đang chạy trên phiên bản đã vá.

Node.js và các lỗ hổng thực thi mã

Node.js đã phát hành bản cập nhật cho mười lỗ hổng, trong đó có CVE-2026-111497 liên quan đến giải nén Brotli, cho phép ghi đè bộ nhớ ngoài phạm vi cho phép. Các phiên bản an toàn bao gồm 26.12.1, 24.22.1 và 22.23.4. Việc xây dựng lại (rebuild) các container image là bước quan trọng để đảm bảo môi trường runtime đã được cập nhật hoàn toàn.

Tấn công chuỗi cung ứng và vi phạm chứng chỉ

Các cuộc tấn công vào chuỗi cung ứng phần mềm đang trở thành phương thức ưa thích của tội phạm mạng để phát tán mã độc trên quy mô lớn.

• LiteLLM Compromise: Phiên bản 1.107.0 trên PyPI đã bị nhiễm mã độc đánh cắp thông tin xác thực và tải mã từ xa. Kẻ tấn công đã chiếm quyền điều khiển quy trình phát hành thông qua GitHub credentials.
• WordPress Plugin Breach: Kẻ tấn công sử dụng khóa kết nối UpdraftCentral để cài đặt plugin độc hại trên các trang web WordPress mà không làm thay đổi gói cài đặt gốc.
• eMudhra CA Incident: Việc lộ tám khóa ký trung gian (intermediate signing keys) đã làm suy yếu niềm tin vào chứng chỉ số. Các tổ chức cần cập nhật trust store trên trình duyệt và hệ điều hành.

⚠️ Cảnh báo quan trọng: Việc chỉ hạ cấp phiên bản phần mềm không đủ để loại bỏ mã độc. Nếu môi trường đã bị nhiễm, cần thực hiện xoay vòng toàn bộ khóa bảo mật (API keys, SSH keys, AWS credentials) và kiểm tra các backdoor tiềm ẩn.

Phân tích các cuộc tấn công đang diễn ra

Ngoài các lỗ hổng phần mềm, các hệ thống VPN và máy chủ Plex cũng đang là mục tiêu của các chiến dịch tấn công tích cực.

• Palo Alto GlobalProtect (CVE-2026-0257): Lỗ hổng này cho phép kẻ tấn công vượt qua xác thực MFA. Các nhà nghiên cứu đã ghi nhận trường hợp kẻ tấn công truy cập vào VMware vCenter và trích xuất thông tin xác thực từ đĩa ảo của domain controller.
• Plex2Shell: Một chuỗi gồm bốn lỗ hổng cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực, sau đó triển khai các công cụ đào tiền ảo và proxy trái phép trên máy chủ.

Để phòng thủ, các tổ chức cần thực hiện rà soát nhật ký truy cập VPN, kiểm tra các tiến trình bất thường trên máy chủ và áp dụng các bản vá bảo mật mới nhất cho Apache Tomcat (CVE-2026-101296) và các thành phần ứng dụng khác. Việc duy trì một quy trình ứng phó sự cố (Incident Response) chặt chẽ là chìa khóa để giảm thiểu rủi ro trong bối cảnh các mối đe dọa liên tục thay đổi.