PHP2Shell: Lỗ hổng thực thi mã từ xa không cần xác thực
"Two critical vulnerabilities (CVE-2026-109618 and CVE-2026-109619), dubbed PHP2Shell, allow unauthenticated remote code execution on PHP servers. Exploitation in the wild has been observed. Mitigation involves patching to PHP versions 8.5.12, 8.4.27, 8.3.36, or 8.2.35."
Hai lỗ hổng thực thi mã từ xa (RCE) trong PHP core cho phép kẻ tấn công chiếm quyền điều khiển máy chủ mà không cần xác thực. Việc khai thác đang diễn ra trong thực tế.
Các ứng dụng web sử dụng PHP có thể bị tấn công, dẫn đến mất dữ liệu, gián đoạn dịch vụ và thiệt hại uy tín. Các doanh nghiệp cần ưu tiên vá lỗi để giảm thiểu rủi ro.
Cloudflare và watchTowr ghi nhận các cuộc tấn công khai thác hai lỗ hổng nghiêm trọng trong PHP (CVE-2026-109618 và CVE-2026-109619), được gọi là PHP2Shell. Lỗ hổng cho phép kẻ tấn công thực thi mã từ xa trên máy chủ PHP mà không cần đăng nhập.
Đây là vấn đề đáng quan tâm với các kỹ sư và doanh nghiệp Việt Nam sử dụng PHP, đặc biệt là các ứng dụng web công cộng. Việc vá lỗi là cần thiết để ngăn chặn các cuộc tấn công tiềm ẩn.
Chi tiết lỗ hổng
Cả hai lỗ hổng đều nằm trong core PHP, không phải trong framework hay plugin, nên ảnh hưởng đến bất kỳ ứng dụng PHP nào. CVE-2026-109618 liên quan đến lỗi tràn bộ nhớ khi xử lý yêu cầu multipart (tải file). CVE-2026-109619 là lỗi sử dụng bộ nhớ sau khi giải phóng, xảy ra sau một lỗi nghiêm trọng. Các server bị ảnh hưởng bao gồm PHP-FPM, mod_php, php-cgi, FrankenPHP và LiteSpeed, trong đó mod_php được đánh giá là rủi ro cao nhất.
Phiên bản đã được vá lỗi là 8.5.12, 8.4.27, 8.3.36 và 8.2.35. PHP cũng cung cấp các bản vá tối thiểu cho các phiên bản 7.4, 8.0 và 8.1, nhưng khuyến cáo nên nâng cấp lên phiên bản mới hơn.
Tình hình khai thác
watchTowr báo cáo đã phát hiện các cuộc tấn công khai thác lỗ hổng này trên mạng honeypot của họ từ ngày 21 tháng 10. Tenable cũng cho biết Cloudflare đang thấy các cuộc tấn công sớm. Các công cụ quét lỗ hổng như VulnCheck đã chứng minh khả năng khai thác thành công trên ARM64 và x86 (khi tắt ASLR). Tuy nhiên, các exploit công khai hiệu quả vẫn còn hạn chế và nhiều PoC (proof-of-concept) có thể chứa mã độc.
Tìm kiếm PHP trong hệ thống
Việc xác định tất cả các phiên bản PHP trong hệ thống có thể khó khăn. PHP có thể được cài đặt thông qua các gói OS (php, php-fpm, php8.x), Homebrew (macOS), các bản zip trên Windows (XAMPP, WampServer, Laragon) hoặc được đóng gói cùng với các ứng dụng. Phiên bản PHP có thể được xác định bằng cách kiểm tra chuỗi X-Powered-By: PHP/x.y.z trong các file PHP.
Câu hỏi thường gặp
CVE-2026-109618 và CVE-2026-109619 là gì?
CVE-2026-109618 là lỗi tràn bộ nhớ khi xử lý yêu cầu multipart, còn CVE-2026-109619 là lỗi sử dụng bộ nhớ sau khi giải phóng. Cả hai đều cho phép thực thi mã từ xa trên máy chủ PHP.
Các phiên bản PHP nào bị ảnh hưởng?
Tất cả các phiên bản PHP trước 8.5.12, 8.4.27, 8.3.36 và 8.2.35 đều bị ảnh hưởng. Các bản vá tối thiểu cũng có sẵn cho 7.4, 8.0 và 8.1, nhưng nên nâng cấp lên phiên bản mới hơn.
Có bằng chứng về việc khai thác lỗ hổng này không?
watchTowr và Cloudflare đã báo cáo phát hiện các cuộc tấn công khai thác lỗ hổng này. Các công cụ quét lỗ hổng cũng đã chứng minh khả năng khai thác thành công trong một số trường hợp.
Góc nhìn của Orange Cloud
Theo chúng tôi, các doanh nghiệp Việt Nam cần ưu tiên kiểm tra và vá các hệ thống sử dụng PHP, đặc biệt là các ứng dụng web công cộng. Điều đáng chú ý là việc tìm kiếm tất cả các phiên bản PHP trong hệ thống có thể phức tạp, do đó cần sử dụng các công cụ quét và kiểm tra kỹ lưỡng.