Phân tích kỹ thuật lỗ hổng PHP2Shell: CVE-2026-109618 và CVE-2026-109619

• Phát hiện sớm: Tin tặc đã bắt đầu thử nghiệm khai thác các lỗ hổng PHP2Shell từ ngày 17/10/2026, bốn ngày trước khi bản vá chính thức được phát hành.
• Tác động nghiêm trọng: Hai lỗ hổng CVE-2026-109618 và CVE-2026-109619 cho phép thực thi mã từ xa (RCE) mà không cần xác thực trên các máy chủ web bị ảnh hưởng.
• Khuyến nghị khẩn cấp: Quản trị viên cần rà soát log hệ thống từ ngày 17/10/2026 và cập nhật ngay lên các phiên bản PHP đã được vá lỗi.

Các chuyên gia an ninh mạng vừa công bố báo cáo chi tiết về một chiến dịch tấn công nhắm vào các lỗ hổng nghiêm trọng trong ngôn ngữ lập trình PHP, được cộng đồng bảo mật gọi chung là PHP2Shell. Hoạt động này được ghi nhận bởi hệ thống honeypot MadPot của Amazon, cho thấy sự chuẩn bị kỹ lưỡng của các tác nhân đe dọa ngay cả trước khi thông tin về lỗ hổng được công khai.

Chi tiết về lỗ hổng PHP2Shell

Lỗ hổng CVE-2026-109618 và CVE-2026-109619 ảnh hưởng trực tiếp đến cách thức PHP quản lý bộ nhớ và dữ liệu yêu cầu (request data). Đây là những lỗi logic nghiêm trọng có thể bị lợi dụng để chiếm quyền điều khiển máy chủ.

• CVE-2026-109618: Liên quan đến tình trạng thiếu hụt bộ nhớ (out-of-memory), khiến dữ liệu nội bộ bị để lại ở trạng thái không hoàn chỉnh, tạo điều kiện cho việc thao túng bộ nhớ.
• CVE-2026-109619: Liên quan đến trạng thái cũ (stale state) còn sót lại trong các tiến trình PHP worker chạy dài hạn, cho phép kẻ tấn công tái sử dụng dữ liệu này trong các yêu cầu tiếp theo.

Sự kết hợp của hai lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa (RCE) mà không cần thông qua bước đăng nhập, gây ra rủi ro cực kỳ lớn cho các hạ tầng web hiện đại.

Dòng thời gian và dấu hiệu tấn công

Theo dữ liệu từ các nhà nghiên cứu, hoạt động khai thác bắt đầu từ ngày 17/10/2026, trong khi các lỗ hổng vẫn đang trong giai đoạn tiết lộ có phối hợp. Các nỗ lực tấn công được ghi nhận từ nhiều địa chỉ IP sử dụng dịch vụ ẩn danh hóa thương mại.

Các nhà nghiên cứu nhấn mạnh rằng việc phát hành bản vá không phải là điểm khởi đầu của rủi ro. Ngay sau khi thông tin được công khai vào ngày 21/10/2026, các mã khai thác (PoC) đã xuất hiện chỉ trong vòng vài giờ, cho thấy tốc độ phản ứng nhanh chóng của các nhóm tội phạm mạng.

Hướng dẫn phòng thủ và săn tìm mối đe dọa

Để đảm bảo an toàn, các tổ chức cần thực hiện ngay các bước kiểm tra và cập nhật hệ thống. Việc chỉ cập nhật phiên bản PHP CLI là không đủ; cần phải khởi động lại hoặc triển khai lại các tiến trình worker đang chạy.

⚠️ Cảnh báo quan trọng: Các thay đổi cấu hình chỉ là giải pháp tạm thời. Việc nâng cấp lên phiên bản PHP đã vá lỗi là phương án duy nhất để loại bỏ hoàn toàn lỗ hổng.

Quản trị viên nên thực hiện các bước săn tìm mối đe dọa (Threat Hunting) sau đây:

• Rà soát log: Kiểm tra các yêu cầu POST chứa chuỗi PHP_SESSION_UPLOAD_PROGRESS trong các form upload.
• Kiểm tra tiến trình: Tìm kiếm các tiến trình lạ hoặc các thay đổi file bất thường trên các máy chủ PHP.
• Cập nhật phiên bản: Đảm bảo hệ thống đang chạy các phiên bản PHP đã được vá lỗi: 8.2.35, 8.3.36, 8.4.27 hoặc 8.5.12.

Nếu không thể cập nhật ngay lập tức, hãy cân nhắc hạn chế các yêu cầu upload file đa phần (multi-part file uploads) để giảm thiểu bề mặt tấn công, tuy nhiên cần đánh giá kỹ tác động đến chức năng ứng dụng trước khi áp dụng.