CISA xác nhận PHP2Shell bị tấn công, các nhà nghiên cứu ghi nhận khai thác thành công
"CISA has confirmed active exploitation of two critical PHP vulnerabilities, CVE-2026-109618 and CVE-2026-109619, known as PHP2Shell. Researchers have demonstrated successful remote code execution on vulnerable systems, with attackers attempting to download additional payloads. Federal agencies are mandated to patch by October 29th, and all organizations are urged to update to PHP 8.5.12, 8.4.27, 8.3.36, or 8.2.35."
Các lỗ hổng PHP2Shell cho phép thực thi mã từ xa mà không cần xác thực, tạo điều kiện cho xâm nhập hệ thống và đánh cắp dữ liệu.
Các doanh nghiệp sử dụng PHP có thể phải đối mặt với gián đoạn dịch vụ, mất dữ liệu và thiệt hại uy tín nếu không vá lỗi kịp thời. Việc khắc phục sự cố có thể tốn kém và mất thời gian.
CISA vừa xác nhận các cuộc tấn công đang khai thác hai lỗ hổng nghiêm trọng trong PHP, CVE-2026-109618 và CVE-2026-109619, được gọi chung là PHP2Shell. Các nhà nghiên cứu đã chứng minh khả năng thực thi mã từ xa trên các hệ thống dễ bị tấn công, với các kẻ tấn công cố gắng tải xuống thêm các payload. Các cơ quan liên bang Hoa Kỳ phải vá lỗi trước ngày 29 tháng 10, và tất cả các tổ chức khác được khuyến nghị cập nhật lên PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35.
Việc xác nhận này quan trọng với các kỹ sư và doanh nghiệp Việt Nam sử dụng PHP, vì các lỗ hổng này có thể dẫn đến xâm nhập hệ thống và đánh cắp dữ liệu. Các cuộc tấn công đã được ghi nhận từ ngày 17 tháng 10, trước khi các bản vá lỗi được phát hành.
CISA đã thêm hai lỗ hổng này vào danh mục Known Exploited Vulnerabilities (KEV) vào ngày 26 tháng 10. Cả hai lỗ hổng đều đạt mức 9.2 trên thang điểm CVSS và có thể khai thác mà không cần xác thực để thực thi mã trên các máy chủ PHP dễ bị tấn công. Điều này đặc biệt nguy hiểm vì PHP vẫn là một phần mềm phổ biến trên web.
Nghiên cứu của Perplexity cho thấy 35 lần thực thi shell thành công trên ba honeypot chạy PHP 8.4.26. Kẻ tấn công sử dụng các kỹ thuật memory exhaustion và disclosure để đạt được remote code execution. Delft University's Threat Intelligence Lab cũng theo dõi hơn 50.000 yêu cầu khai thác từ hơn 600 địa chỉ IP trên 70 quốc gia, trong đó 171 địa chỉ đã bắt đầu gửi mã khai thác hoặc dropper malware.
Một số báo cáo ban đầu về các cuộc tấn công PHP2Shell thành công đã được điều chỉnh lại. Sophos xác định rằng hoạt động quan sát được chỉ là quét và các nỗ lực thất bại, trong khi Palo Alto Networks rút lại tuyên bố về việc liên kết các lỗ hổng với một vụ xâm nhập tại một cơ quan chính phủ châu Âu. https://www.theregister.com/2026/10/27/cisa_confirms_php2shell_under_attack/
Câu hỏi thường gặp
CVE-2026-109618 và CVE-2026-109619 là gì?
Đây là hai lỗ hổng nghiêm trọng trong PHP cho phép kẻ tấn công thực thi mã từ xa trên các máy chủ dễ bị tấn công. Cả hai đều đạt mức 9.2 trên thang điểm CVSS.
Thời hạn vá lỗi cho các cơ quan liên bang Hoa Kỳ là khi nào?
CISA yêu cầu các cơ quan liên bang phải vá lỗi trước ngày 29 tháng 10. Các tổ chức khác được khuyến nghị ưu tiên vá lỗi.
Các phiên bản PHP nào cần được cập nhật?
Các quản trị viên nên cập nhật lên PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35, tùy thuộc vào nhánh phát hành của họ.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc CISA xác nhận các cuộc tấn công PHP2Shell là một lời cảnh tỉnh cho các doanh nghiệp Việt Nam. Các công ty nên kiểm tra ngay lập tức các hệ thống PHP của họ và áp dụng các bản vá lỗi cần thiết. Điều đáng chú ý là, ngay cả khi không có dấu hiệu xâm nhập, việc vá lỗi vẫn là cần thiết để ngăn chặn các cuộc tấn công trong tương lai.