Phân tích lỗ hổng PHP2Shell: CVE-2026-109618 và CVE-2026-109619

• Cảnh báo lỗ hổng: Hai lỗ hổng nghiêm trọng CVE-2026-109618 và CVE-2026-109619 trong PHP cho phép kẻ tấn công thực thi mã từ xa (RCE).
• Tác động thực tế: Các lỗ hổng này đang bị khai thác tích cực trong tự nhiên, nhắm vào các máy chủ web sử dụng PHP.
• Khuyến nghị khẩn cấp: Cập nhật ngay lên các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35 để vá lỗi.
• Hỗ trợ đào tạo: OffSec đã phát hành lab thực hành miễn phí trên Proving Grounds Play để nghiên cứu cơ chế khai thác.

Tổng quan về lỗ hổng PHP2Shell

Trong một diễn biến đáng báo động đối với cộng đồng bảo mật, các nhà nghiên cứu đã phát hiện ra hai lỗ hổng nghiêm trọng được định danh là CVE-2026-109618 và CVE-2026-109619, thường được gọi chung là "PHP2Shell". Đây là các lỗi hỏng hóc bộ nhớ (memory corruption) tồn tại trong nhân PHP, cho phép kẻ tấn công không cần xác thực có thể gửi các yêu cầu web được chế tạo đặc biệt để làm sập máy chủ hoặc chiếm quyền điều khiển hệ thống.

Với việc PHP hiện đang là ngôn ngữ phía máy chủ (server-side) của khoảng 70% các trang web trên toàn cầu, tầm ảnh hưởng của các lỗ hổng này là cực kỳ lớn. Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã chính thức đưa cả hai lỗ hổng này vào danh mục các lỗ hổng đã bị khai thác trong thực tế (Known Exploited Vulnerabilities catalog) vào ngày 26 tháng 10 năm 2026.

Phân tích kỹ thuật và cơ chế khai thác

Các lỗ hổng này xuất phát từ cách thức PHP xử lý các trạng thái bộ nhớ khi gặp lỗi nghiêm trọng (fatal error). Theo các chuyên gia, khi một yêu cầu vượt quá giới hạn bộ nhớ hoặc gặp lỗi trong quá trình xử lý, PHP không dọn dẹp sạch sẽ các dữ liệu trạng thái (state data). Kẻ tấn công có thể lợi dụng các dữ liệu còn sót lại này để thực thi mã với đặc quyền của tiến trình web server.

Việc khai thác các lỗ hổng này không còn là lý thuyết. Các nhà nghiên cứu đã chứng minh khả năng chiếm quyền điều khiển các trang web Drupal và WordPress mà không cần mật khẩu. Đáng chú ý, sự hỗ trợ của trí tuệ nhân tạo (AI) đã rút ngắn đáng kể thời gian phát triển mã khai thác (exploit), từ hàng tháng xuống chỉ còn một tuần, khiến các lỗ hổng vốn được coi là "quá phức tạp" trở nên dễ dàng bị khai thác hơn bao giờ hết.

Hướng dẫn phòng thủ và giảm thiểu rủi ro

Để bảo vệ hệ thống trước các cuộc tấn công, quản trị viên cần thực hiện các biện pháp hardening ngay lập tức. Việc chỉ cập nhật ứng dụng (như WordPress, Drupal) là không đủ, vì lỗ hổng nằm ở chính nhân PHP.

• Cập nhật phiên bản PHP: Nâng cấp lên các phiên bản an toàn nhất hiện có: PHP 8.5.12, 8.4.27, 8.3.36, hoặc 8.2.35.
• Cấu hình giảm thiểu tạm thời: Nếu chưa thể vá lỗi ngay, hãy vô hiệu hóa tính năng upload progress của session bằng cách thiết lập session.upload_progress.enabled=0 trong file cấu hình php.ini.
• Giám sát hệ thống: Kiểm tra kỹ các log của web server để tìm kiếm các dấu hiệu bất thường như: các yêu cầu multipart lạ, lỗi memory-limit, phản hồi HTTP 500 liên tục, hoặc các tiến trình PHP worker tự khởi động lại bất ngờ.

Ngoài ra, đối với các hệ thống sử dụng PHP 8.5, hãy vô hiệu hóa tính năng fatal error backtraces để ngăn chặn việc rò rỉ thông tin bộ nhớ. Sau khi thay đổi cấu hình, bắt buộc phải khởi động lại các tiến trình PHP worker để áp dụng thay đổi.

Săn tìm mối đe dọa (Threat Hunting)

Các đội ngũ SOC cần tập trung vào việc rà soát các hoạt động đáng ngờ từ ngày 17 tháng 10 năm 2026. Việc xoay vòng các thông tin xác thực (credentials), API keys và các token bảo mật là bước cần thiết nếu hệ thống được xác định đã bị xâm nhập.

# Kiểm tra log để tìm các yêu cầu bất thường (ví dụ mẫu)grep -E 'memory_limit|500' /var/log/apache2/access.log

Việc hiểu rõ cơ chế khai thác thông qua các môi trường lab như Proving Grounds Play của OffSec sẽ giúp các chuyên gia bảo mật nâng cao kỹ năng phản ứng trước các mối đe dọa tương tự trong tương lai. Hãy luôn theo dõi các thông báo từ CISA và dự án PHP để cập nhật các hướng dẫn mới nhất.