Palo Alto xác nhận khai thác PHP2Shell trên thiết bị PAN-OS

Mối đe dọa: Các lỗ hổng PHP2Shell đang bị khai thác tích cực nhắm vào giao diện quản trị PAN-OS lộ diện trên internet.
CVE liên quan: CVE-2026-109618, CVE-2026-109619 (CVSS 9.2) và CVE-2026-46300 (Fragnesia).
Tác động: Cho phép thực thi mã từ xa (RCE) không cần xác thực, dẫn đến chiếm quyền root thông qua leo thang đặc quyền.
Khuyến nghị: Quản trị viên cần ngay lập tức hạn chế quyền truy cập giao diện quản trị và cập nhật các bản vá PAN-OS mới nhất.

Palo Alto Networks vừa chính thức xác nhận rằng các tác nhân đe dọa đang thực hiện các cuộc tấn công chủ động nhắm vào giao diện quản trị của hệ điều hành PAN-OS thông qua các lỗ hổng PHP2Shell. Theo báo cáo từ Unit 42 vào ngày 29 tháng 10 năm 2026, các công cụ khai thác đã được xác minh, cho phép kẻ tấn công kết hợp các lỗ hổng PHP với một lỗ hổng nhân Linux để giành quyền truy cập root trên thiết bị.

Phân tích kỹ thuật các lỗ hổng PHP2Shell

Hai lỗ hổng chính được xác định là CVE-2026-109618 và CVE-2026-109619, cả hai đều đạt điểm CVSS 4.0 là 9.2, mức độ nghiêm trọng cao. Các lỗ hổng này phát sinh từ việc xử lý bộ nhớ không an toàn khi PHP ngừng xử lý yêu cầu sau khi gặp lỗi.

Cơ chế khai thác chi tiết

CVE-2026-109618: Ảnh hưởng đến quá trình xử lý bộ nhớ thông qua hàm longjmp(). Việc thoát đột ngột khiến dữ liệu yêu cầu bị khởi tạo một phần, dẫn đến các routine dọn dẹp vô tình đọc hoặc thao tác trên dữ liệu không hợp lệ, tạo điều kiện cho việc thực thi mã.
CVE-2026-109619: Lỗi này khiến trạng thái nội bộ được chia sẻ trỏ đến vùng nhớ đã được giải phóng (Use-After-Free). Một yêu cầu tiếp theo từ cùng một worker có thể truy cập vào các tham chiếu cũ này trước khi hệ thống kịp thiết lập lại, cho phép kẻ tấn công thực thi mã tùy ý.

Các triển khai bị ảnh hưởng bao gồm PHP-FPM, Apache mod_php, php-cgi, FrankenPHP và LiteSpeed. Các phiên bản đã được vá bao gồm PHP 8.2.35, 8.3.36, 8.4.27 và 8.5.12.

Chuỗi tấn công và leo thang đặc quyền

Các nhà nghiên cứu bảo mật đã phát hiện một chiến dịch nhắm vào 25 máy chủ quản trị PAN-OS tại nhiều quốc gia. Kẻ tấn công sử dụng một biến thể PHP2Shell tùy chỉnh để tạo áp lực bộ nhớ, rò rỉ địa chỉ và thao tác cấu trúc bộ nhớ nhằm thực thi lệnh dưới quyền người dùng nobody.

Loại thực thể	Giá trị / Chỉ số	Mô tả tác động
CVE-2026-109618	CVSS 9.2	RCE thông qua lỗi xử lý bộ nhớ longjmp()
CVE-2026-109619	CVSS 9.2	RCE thông qua lỗi Use-After-Free
CVE-2026-46300	Fragnesia	Leo thang đặc quyền lên root trên Linux

Sau khi chiếm được quyền truy cập ban đầu, kẻ tấn công sử dụng lỗ hổng nhân Linux có tên Fragnesia (CVE-2026-46300) để leo thang đặc quyền lên root. Các bằng chứng cho thấy sự hiện diện của webshell, kỹ thuật đường hầm nội bộ (tunneling), trích xuất thông tin xác thực LDAP và liệt kê Active Directory.

Khuyến nghị phòng thủ và Hardening

Palo Alto Networks nhấn mạnh rằng phạm vi ảnh hưởng giới hạn ở giao diện HTTPS quản trị và XML API trên các dòng PA-Series, VM-Series và Panorama. Các dịch vụ như GlobalProtect không bị ảnh hưởng trực tiếp bởi các lỗ hổng PHP này.

⚠️ Cảnh báo quan trọng: Quản trị viên cần ngay lập tức loại bỏ quyền truy cập giao diện quản trị từ internet công cộng. Chỉ cho phép truy cập từ các dải IP nội bộ tin cậy và triển khai các bản vá PAN-OS tương ứng như 12.2.4-h1, 12.1.10-h3, 11.2.16-h1, 11.1.16-h4 hoặc 10.2.18-h13.

Việc áp dụng các bản vá này không chỉ khắc phục các lỗ hổng PHP mà còn phá vỡ chuỗi tấn công mà các nhà nghiên cứu đã quan sát được. Để biết thêm thông tin chi tiết về các bản cập nhật bảo mật, quản trị viên có thể tham khảo tài liệu từ Palo Alto Networks Security Advisory.