Phân tích lỗ hổng PHP2Shell: CVE-2026-109618 và CVE-2026-109619

• Lỗ hổng nghiêm trọng: Hai lỗ hổng PHP2Shell (CVE-2026-109618 và CVE-2026-109619) với điểm CVSS 9.2 cho phép kẻ tấn công thực thi mã từ xa (RCE).
• Cơ chế khai thác: Lợi dụng lỗi hỏng bộ nhớ (heap corruption) và tái sử dụng dữ liệu trong shared worker để chiếm quyền điều khiển.
• Khuyến nghị khẩn cấp: Quản trị viên cần cập nhật ngay lên các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35 để ngăn chặn nguy cơ bị khai thác.

Một nhà nghiên cứu bảo mật có biệt danh 'killa' vừa giành chiến thắng trong một thử thách công khai về an ninh mạng bằng cách khai thác thành công hai lỗ hổng nghiêm trọng trong PHP để truy cập vào máy chủ thử nghiệm. Cuộc tấn công này đã làm dấy lên hồi chuông cảnh báo về các lỗ hổng bảo mật mới được định danh là PHP2Shell, gây ảnh hưởng đến nhiều phiên bản PHP hiện hành.

Chi tiết về lỗ hổng PHP2Shell

Các lỗ hổng này được theo dõi dưới mã định danh CVE-2026-109618 và CVE-2026-109619. Cả hai đều được đánh giá ở mức độ nghiêm trọng với điểm số CVSS v4.0 là 9.2. Theo các báo cáo kỹ thuật, lỗ hổng đầu tiên liên quan đến việc hỏng bộ nhớ trong quá trình dọn dẹp sau khi hệ thống gặp tình trạng thiếu bộ nhớ (out-of-memory). Lỗ hổng thứ hai cho phép dữ liệu còn sót lại từ một yêu cầu trước đó trong shared worker bị tái sử dụng bởi một yêu cầu sau, tạo điều kiện cho việc thao túng luồng thực thi.

Phân tích kỹ thuật và cơ chế khai thác

Kỹ thuật khai thác được công bố sử dụng hai kỹ thuật rò rỉ bộ nhớ (memory leak). Đầu tiên, kẻ tấn công thực hiện rò rỉ địa chỉ heap, sau đó rò rỉ địa chỉ mã PHP. Với hai thông tin này, một yêu cầu cuối cùng sẽ đặt một cấu trúc giả mạo vào bộ nhớ, buộc PHP phải gọi hàm system của hệ thống. Script khai thác sau đó sẽ in ra một mã định danh thử nghiệm, ID người dùng và hash của chương trình flag.

Dưới đây là tóm tắt các phiên bản PHP đã được vá lỗi:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

⚠️ Cảnh báo quan trọng: Các phiên bản PHP cũ hơn như 8.1 và các nhánh trước đó không còn nhận được bản vá chính thức. Các tổ chức đang vận hành các phiên bản này cần khẩn trương nâng cấp lên các nhánh được hỗ trợ để tránh rủi ro bị tấn công.

Phòng thủ và Săn tìm mối đe dọa

Việc nâng cấp lên phiên bản PHP đã vá lỗi là biện pháp duy nhất để loại bỏ hoàn toàn lỗ hổng. Các quy tắc Firewall hoặc thay đổi cấu hình chỉ mang tính chất giảm thiểu rủi ro tạm thời. Sau khi nâng cấp, quản trị viên cần khởi động lại các dịch vụ và xác nhận rằng các worker đang chạy trên bản build mới, đặc biệt là trong các môi trường container hoặc runtime đóng gói sẵn.

Các nhà nghiên cứu cũng ghi nhận sự xuất hiện của các nỗ lực khai thác từ trước khi bản vá được phát hành, bao gồm cả các dấu hiệu liên quan đến biến thể botnet Mirai có tên là Potassium. Việc tích hợp các nguồn dữ liệu Threat Intelligence (TI) từ các trung tâm điều hành an ninh (SOC) là vô cùng cần thiết để phát hiện sớm các hành vi bất thường trên hệ thống.

Để biết thêm thông tin chi tiết về các lỗ hổng này, bạn có thể tham khảo tài liệu từ National Vulnerability Database (NVD) hoặc các thông báo bảo mật chính thức từ dự án PHP.