CISA cảnh báo lỗ hổng PHP2Shell nghiêm trọng đang bị khai thác thực tế

• Mối đe dọa: Hai lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619 cho phép thực thi mã từ xa (RCE) mà không cần xác thực.
• Hành động khẩn cấp: CISA yêu cầu các cơ quan liên bang hoàn tất vá lỗi trước ngày 29 tháng 10 theo chỉ thị BOD 26-04.
• Phạm vi ảnh hưởng: Các phiên bản PHP cũ không còn được hỗ trợ và các triển khai web server sử dụng PHP worker.
• Khuyến nghị: Cập nhật ngay lên các phiên bản PHP 8.2.35, 8.3.36, 8.4.27, hoặc 8.5.12.

Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) vừa chính thức đưa hai lỗ hổng bảo mật nghiêm trọng trong PHP, được giới nghiên cứu gọi chung là PHP2Shell, vào danh mục Lỗ hổng đã bị khai thác (Known Exploited Vulnerabilities - KEV). Việc bổ sung này diễn ra sau khi các chuyên gia xác nhận sự tồn tại của các chiến dịch tấn công thực tế nhắm vào các máy chủ web sử dụng PHP.

Phân tích kỹ thuật về lỗ hổng PHP2Shell

Hai lỗ hổng này, được định danh là CVE-2026-109618 và CVE-2026-109619, cho phép những kẻ tấn công không cần xác thực có thể thực thi mã từ xa (Remote Code Execution - RCE) trên các máy chủ web bị ảnh hưởng. Đây là một rủi ro bảo mật cực kỳ nghiêm trọng vì nó cho phép kẻ tấn công chiếm quyền điều khiển hệ thống mà không cần thông tin đăng nhập hợp lệ.

Theo các nhà nghiên cứu bảo mật, CVE-2026-109618 phát sinh khi PHP gặp tình trạng cạn kiệt bộ nhớ và để lại một số dữ liệu yêu cầu nội bộ ở trạng thái không an toàn. Trong khi đó, CVE-2026-109619 liên quan đến việc duy trì các tham chiếu đến bộ nhớ đã được giải phóng (stale reference). Trong các môi trường mà PHP worker xử lý các yêu cầu lặp đi lặp lại, kẻ tấn công có thể kích hoạt trạng thái dễ bị tổn thương này và gửi các yêu cầu tiếp theo để đạt được quyền thực thi mã tùy ý với đặc quyền của PHP web worker.

Hướng dẫn khắc phục và giảm thiểu rủi ro

CISA đã ban hành Chỉ thị Hoạt động Ràng buộc (Binding Operational Directive) BOD 26-04, yêu cầu các cơ quan chính phủ phải hoàn tất việc vá lỗi hoặc đưa các sản phẩm bị ảnh hưởng ra khỏi hệ thống trước ngày 29 tháng 10. Đối với các tổ chức tư nhân, việc cập nhật phần mềm cần được ưu tiên hàng đầu để ngăn chặn các cuộc tấn công mạng tiềm tàng.

Các phiên bản đã được vá lỗi

Nhóm phát triển PHP đã phát hành các bản cập nhật để giải quyết triệt để các lỗ hổng này. Các quản trị viên hệ thống cần thực hiện nâng cấp ngay lập tức lên các phiên bản sau:

• PHP 8.2.35
• PHP 8.3.36
• PHP 8.4.27
• PHP 8.5.12

Đối với các tổ chức đang sử dụng các nhánh PHP cũ hơn như 5.x, 7.x, 8.0 hoặc 8.1, cần lưu ý rằng các phiên bản này không còn được hỗ trợ chính thức. Trong trường hợp này, việc nâng cấp lên các nhánh được hỗ trợ là bắt buộc, hoặc cần tham khảo hướng dẫn từ nhà cung cấp hệ điều hành/nền tảng hosting để áp dụng các bản vá bảo mật tùy chỉnh.

⚠️ Cảnh báo quan trọng: Việc chỉ sử dụng Web Application Firewall (WAF) không thể thay thế cho việc cập nhật bản vá. WAF có thể giảm thiểu một số yêu cầu độc hại, nhưng không giải quyết được nguyên nhân gốc rễ của lỗ hổng trong runtime PHP.

Quy trình săn tìm mối đe dọa (Threat Hunting)

Trước khi áp dụng bản vá, các đội ngũ SOC nên thực hiện rà soát hệ thống để tìm kiếm các dấu hiệu xâm nhập (IOCs). Các bước cần thực hiện bao gồm:

• Kiểm tra nhật ký (Logs): Phân tích kỹ lưỡng các tệp nhật ký ứng dụng, nhật ký web server và nhật ký PHP-FPM để tìm các yêu cầu bất thường.
• Giám sát tiến trình: Theo dõi các hoạt động tiến trình (process activity) bất thường phát sinh từ các PHP worker.
• Phân tích kết nối mạng: Kiểm tra các kết nối mạng outbound từ máy chủ web, đặc biệt là các kết nối đến các địa chỉ IP lạ hoặc các cổng không xác định.

Để biết thêm chi tiết kỹ thuật và hướng dẫn chi tiết, quản trị viên có thể tham khảo thông báo chính thức từ CISA về các lỗ hổng này. Việc duy trì sự cảnh giác và cập nhật thường xuyên là chìa khóa để bảo vệ hạ tầng trước các mối đe dọa mạng ngày càng tinh vi.