Khai thác PHP2Shell tấn công tổ chức chính phủ, dấu hiệu tấn công hỗ trợ AI
"Threat actors are actively exploiting PHP2Shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619) in global scanning campaigns, with a confirmed compromise of a European government entity. Evidence suggests potential AI-assisted post-exploitation activity, including credential theft and Active Directory reconnaissance. A North Korean-linked campaign (potentially Lazarus Group) is suspected of conducting low-volume scanning of vulnerable PHP infrastructure."
Các lỗ hổng PHP2Shell cho phép thực thi mã từ xa, có thể dẫn đến mất dữ liệu và mất quyền kiểm soát hệ thống. Việc khai thác đang diễn ra trên diện rộng, với các cuộc tấn công nhắm vào cả tổ chức chính phủ và tư nhân.
Các doanh nghiệp sử dụng PHP có thể bị gián đoạn hoạt động, thiệt hại về tài chính và mất uy tín do các cuộc tấn công PHP2Shell. Việc vá lỗi và tăng cường bảo mật là rất quan trọng để giảm thiểu rủi ro.
Cloudflare và CYFIRMA ghi nhận hoạt động khai thác lỗ hổng PHP2Shell (CVE-2026-109618 và CVE-2026-109619) trên diện rộng. Một tổ chức chính phủ ở châu Âu đã bị xâm nhập, chỉ sau hai giờ kể từ khi khai thác thành công, kẻ tấn công đã lấy được hash mật khẩu và mật khẩu xác thực đa yếu tố.
Đây là vấn đề đáng quan tâm với các doanh nghiệp Việt Nam sử dụng PHP, đặc biệt là các tổ chức chính phủ hoặc tài chính. Việc vá lỗi ngay lập tức là cần thiết để tránh bị tấn công tương tự.
Kẻ tấn công còn thiết lập tunnel NTLM vào Active Directory và cố gắng leo thang đặc quyền lên Domain Admin. Palo Alto Networks Unit 42 cho biết kẻ tấn công sử dụng nền tảng AI để thực hiện các hoạt động hậu khai thác, bao gồm thu thập thông tin đăng nhập và trinh sát Active Directory. Các lệnh được sử dụng có cấu trúc đặc biệt, dễ dàng phân tích bằng mô hình AI.
CYFIRMA phát hiện một chiến dịch liên quan đến Triều Tiên, nghi ngờ do Lazarus Group thực hiện. Chiến dịch này quét các máy chủ PHP dễ bị tấn công trên toàn cầu từ 21 máy chủ bị xâm nhập. Các mục tiêu bao gồm chính phủ, tài chính, logistics, hàng không, sản xuất và các nền tảng giao dịch trực tuyến ở nhiều quốc gia châu Á và châu Âu. Lazarus Group thường nhắm mục tiêu vào các tổ chức tài chính để đánh cắp tiền điện tử.
Defused Cyber cũng ghi nhận các cuộc thăm dò PHP2Shell nhắm vào Palo Alto Networks GlobalProtect honeypots từ địa chỉ IP 204.76.203[.]7. Các lỗ hổng CVE-2026-109618 và CVE-2026-109619 cho phép thực thi mã từ xa trong cấu hình PHP mặc định. Cloudflare cho biết đã phát hiện hàng triệu nỗ lực khai thác sau khi công khai thông tin về lỗ hổng. https://thehackernews.com/2026/10/php2shell-exploitation-hits-government.html
Câu hỏi thường gặp
PHP2Shell là gì?
PHP2Shell là một họ lỗ hổng bảo mật (CVE-2026-109618 và CVE-2026-109619) trong PHP cho phép kẻ tấn công thực thi mã từ xa trên máy chủ.
Lazarus Group có liên quan đến vụ tấn công này như thế nào?
CYFIRMA nghi ngờ Lazarus Group, một nhóm tin tặc liên kết với Triều Tiên, đang thực hiện chiến dịch quét các máy chủ PHP dễ bị tấn công bằng PHP2Shell.
Các lỗ hổng PHP2Shell hoạt động như thế nào?
Kẻ tấn công lợi dụng cách PHP xử lý tên trường biểu mẫu để gây ra lỗi tràn bộ nhớ, từ đó có thể thực thi mã tùy ý. Datadog giải thích rằng kẻ tấn công cần điều chỉnh kích thước yêu cầu để gây ra lỗi và vượt qua ASLR.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc khai thác PHP2Shell cho thấy các nhóm tấn công ngày càng sử dụng AI để tự động hóa các hoạt động hậu khai thác, làm tăng tốc độ và hiệu quả của các cuộc tấn công. Các doanh nghiệp Việt Nam nên kiểm tra và vá các hệ thống PHP của mình ngay lập tức. Điều đáng chú ý là chiến dịch này nhắm mục tiêu vào nhiều ngành công nghiệp quan trọng, bao gồm cả chính phủ và tài chính, cho thấy mức độ nghiêm trọng của mối đe dọa.