Kẻ tấn công nghi ngờ Trung Quốc khai thác PHP2Shell, xâm nhập 25 máy chủ
"Suspected Chinese attackers exploited a custom PHP2Shell exploit (CVE-2026-109618, CVE-2026-109619) combined with the Fragnesia Linux kernel vulnerability (CVE-2026-46300) to compromise 25 servers, including Palo Alto Networks firewalls. The attackers gained root access and persistent network access, targeting organizations in the US, Japan, Taiwan, and South Korea. The entire attack chain completed in under 15 minutes."
Vụ tấn công cho thấy tính nghiêm trọng cao của các lỗ hổng PHP2Shell và Fragnesia, có thể dẫn đến mất quyền kiểm soát hệ thống và rò rỉ dữ liệu.
Các tổ chức có thể phải đối mặt với gián đoạn hoạt động, tổn thất tài chính do sự cố bảo mật, và thiệt hại uy tín.
Các kẻ tấn công, được cho là từ Trung Quốc, đã kết hợp PHP2Shell (CVE-2026-109618, CVE-2026-109619) với lỗ hổng Fragnesia trong kernel Linux (CVE-2026-46300) để xâm nhập 25 máy chủ, bao gồm cả tường lửa Palo Alto Networks. Vụ việc xảy ra từ ngày 23 tháng 10, nhắm vào các tổ chức ở Mỹ, Nhật Bản, Đài Loan và Hàn Quốc.
Theo Dream, một công ty an ninh mạng của Israel, chuỗi tấn công hoàn tất trong vòng chưa đầy 15 phút. Kẻ tấn công đã đạt quyền root và thiết lập quyền truy cập mạng liên tục. Điều đáng chú ý là chúng đã xâm nhập vào mạng nội bộ của một tổ chức liên kết với chính phủ Mỹ chỉ sau vài giờ xâm nhập tường lửa.
PHP2Shell là một chuỗi khai thác tùy chỉnh, không phải bản sao của bất kỳ mã nguồn công khai nào. Kẻ tấn công còn sử dụng Fragnesia để leo thang đặc quyền và cài đặt webshell trong một thư mục có thể truy cập công khai trên tường lửa. Các máy chủ bị xâm nhập chạy PAN-OS phiên bản 12.1 và 12.2, sử dụng PHP 8.0.30. Chúng cũng đã cố gắng tạo tài khoản backdoor AD và trích xuất khóa ký SAML, nhưng chưa rõ thành công hay không. https://www.theregister.com/2026/10/29/chinese_attackers_php2shell_root_servers/
Câu hỏi thường gặp
PHP2Shell là gì?
PHP2Shell là một chuỗi khai thác gồm hai lỗ hổng (CVE-2026-109618 và CVE-2026-109619) cho phép kẻ tấn công thực thi mã trên các máy chủ PHP dễ bị tấn công mà không cần xác thực.
Fragnesia là gì?
Fragnesia (CVE-2026-46300) là một lỗ hổng leo thang đặc quyền cục bộ trong kernel Linux, cho phép kẻ tấn công đạt quyền root sau khi đã có quyền truy cập vào hệ thống.
Thời gian hoàn thành chuỗi tấn công là bao lâu?
Chuỗi tấn công hoàn chỉnh, từ kết nối HTTPS không xác thực đến việc cài đặt webshell root liên tục, mất chưa đầy 15 phút.
Góc nhìn của Orange Cloud
Theo chúng tôi, vụ tấn công này cho thấy mức độ nghiêm trọng của lỗ hổng PHP2Shell và khả năng khai thác nhanh chóng của các đối tượng tấn công. Các doanh nghiệp Việt Nam đang sử dụng tường lửa Palo Alto Networks hoặc các máy chủ PHP cần kiểm tra và vá lỗi ngay lập tức. Điều đáng chú ý là kẻ tấn công đã sử dụng AI trong quá trình tấn công, cho thấy xu hướng ngày càng tăng của việc sử dụng AI trong các cuộc tấn công mạng.