Lỗ hổng

Phân tích lỗ hổng PHP2Shell: CVE-2026-109618 và CVE-2026-109619

Cảnh báo về hai lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619 trong PHP đang bị khai thác để phát tán mã độc botnet Potassium.

RSS Source
RSS SourceAI Rewrite
~1 phút đọc•57 lượt xem
Critical PHP2Shell Exploit Code Goes Public as Hackers Attempt to Deploy Botnet Malware
  • Lỗ hổng nghiêm trọng: Hai lỗ hổng PHP2Shell (CVE-2026-109618 và CVE-2026-109619) với điểm CVSS 9.2 cho phép thực thi mã từ xa.
  • Mối đe dọa: Tin tặc đang tích cực khai thác để triển khai mã độc botnet Potassium (biến thể Mirai).
  • Khuyến nghị: Cập nhật ngay lên các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35 để vá lỗi triệt để.

Các nhà nghiên cứu bảo mật vừa phát đi cảnh báo khẩn cấp về việc mã khai thác (PoC) cho hai lỗ hổng nghiêm trọng trong PHP đã được công khai. Được cộng đồng an ninh mạng gọi chung là PHP2Shell, các lỗ hổng này bao gồm CVE-2026-109618 và CVE-2026-109619, cả hai đều đạt điểm CVSS 9.2, cho phép kẻ tấn công thực thi mã tùy ý mà không cần xác thực.

Chi tiết kỹ thuật về lỗ hổng PHP2Shell

Các lỗ hổng này ảnh hưởng đến cách PHP xử lý bộ nhớ và dữ liệu yêu cầu (request data). Theo phân tích từ các chuyên gia, CVE-2026-109618 gây ra tình trạng hỏng bộ nhớ (memory corruption) trong quá trình dọn dẹp yêu cầu sau khi gặp lỗi thiếu bộ nhớ (out-of-memory). Trong khi đó, CVE-2026-109619 liên quan đến việc dữ liệu yêu cầu cũ bị lưu lại trong trạng thái nội bộ dùng chung, cho phép một yêu cầu tiếp theo được xử lý bởi cùng một worker có thể tái sử dụng dữ liệu này.

Các phần mềm bị ảnh hưởng bao gồm các cài đặt PHP chạy qua PHP-FPM, Apache mod_php, php-cgi, FrankenPHP và LiteSpeed. Đặc biệt, Apache mod_php được đánh giá là có rủi ro cao nhất vì quá trình khai thác có thể diễn ra trước khi mã ứng dụng bắt đầu thực thi.

Phân tích mã độc Potassium (Mirai Variant)

Nhóm phân tích kỹ thuật đã xác định payload mà tin tặc nhắm đến là Potassium, một biến thể của botnet Mirai. Mã độc này có khả năng phân giải địa chỉ C2 được mã hóa, thực hiện các yêu cầu HTTP và kiểm tra tệp tin trả về thông qua Linux ELF magic bytes để đảm bảo tính toàn vẹn của tệp thực thi trước khi tải xuống.

LoạiGiá trị / Chỉ sốMô tả tác động
CVECVE-2026-109618Lỗi hỏng bộ nhớ khi dọn dẹp yêu cầu
CVECVE-2026-109619Tái sử dụng dữ liệu yêu cầu nội bộ
MD5b61a098fc62a2c2696e196dca78da71aMẫu mã độc Mirai-variant
SHA-2560c5486f06620e26e316f4b33f318b0d646d5e1133789331aa2fed012360d1486Mẫu mã độc Mirai-variant

Dưới đây là các chỉ số IOCs quan trọng mà đội ngũ SOC cần lưu ý để săn tìm mối đe dọa:

# Lệnh thực thi payload được ghi nhận trong các báo cáo tấn công: ./nfs php # Đường dẫn tệp tạm thời: /tmp/nfs # User-Agent đặc trưng: php2shell-scan/109618

Hướng dẫn phòng thủ và Hardening

⚠️ Cảnh báo quan trọng: Việc chặn yêu cầu tại Firewall chỉ là biện pháp tạm thời. Quản trị viên cần ưu tiên cập nhật phiên bản PHP lên các bản vá mới nhất từ nhà cung cấp. Kiểm tra kỹ các runtime được đóng gói trong container hoặc các thiết bị mạng, vì chúng có thể không được cập nhật tự động cùng với hệ điều hành.

  • Cập nhật phần mềm: Nâng cấp lên PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35.
  • Giám sát hệ thống: Theo dõi các tiến trình bất thường, kết nối outbound lạ và các yêu cầu web có chứa chuỗi multipart boundary B7kQpoc618.
  • Hardening: Nếu chưa thể vá lỗi ngay lập tức, hãy cân nhắc cách ly các hệ thống PHP khỏi internet hoặc đặt chúng phía sau lớp xác thực mạng (network-level authentication).

Để biết thêm thông tin chi tiết về các kỹ thuật tấn công, bạn có thể tham khảo tài liệu từ CISA hoặc các cơ quan an ninh mạng quốc gia về việc quản lý lỗ hổng 1-day.

Tổng hợp, và phân tích kỹ thuật từ:Cyber Security News
Xem bài gốc

Mạng Lưới An Ninh Mạng & Cộng Đồng

24/7 Alerts

Nhận cảnh báo 0-Day khẩn cấp, phân tích mã độc và tham gia thảo luận kỹ thuật cùng chuyên gia.

RSS Source

Ban biên tập nội dung và phân tích an ninh mạng tại ADSECVN.COM.

Bài Viết Liên Quan

Cùng chuyên mục & chủ đề