Tấn công PHP2Shell xâm nhập 25 máy chủ, bao gồm mạng lưới liên kết chính phủ Mỹ
"A China-nexus threat actor exploited PHP2Shell vulnerabilities (CVE-2026-109618, CVE-2026-109619) in conjunction with Fragnesia (CVE-2026-46300) to compromise 25 servers, including those within a U.S. government-affiliated network. The attack involved a custom PHP2Shell exploit and leveraged AI tools for reconnaissance and automation, ultimately leading to Active Directory targeting. Mitigation involves patching PHP and kernel vulnerabilities and securing management interfaces."
Tấn công PHP2Shell và Fragnesia có thể dẫn đến thực thi mã từ xa và leo thang đặc quyền, tạo điều kiện cho kẻ tấn công kiểm soát hoàn toàn hệ thống.
Sự xâm nhập vào mạng lưới liên kết chính phủ Mỹ cho thấy tác động tiềm tàng nghiêm trọng đến an ninh quốc gia và dữ liệu nhạy cảm. Các doanh nghiệp cần tăng cường bảo mật firewall và cập nhật phần mềm thường xuyên.
Ngày 25/10/2026, một nhóm tấn công nghi ngờ liên quan đến Trung Quốc khai thác các lỗ hổng PHP2Shell (CVE-2026-109618, CVE-2026-109619) kết hợp với Fragnesia (CVE-2026-46300) để xâm nhập 25 máy chủ, trong đó có hệ thống thuộc mạng lưới liên kết với chính phủ Mỹ.
Đây là một sự kiện đáng chú ý vì nó cho thấy cách thức các lỗ hổng bảo mật có thể được khai thác để tấn công các tổ chức chính phủ. Các kỹ sư và doanh nghiệp Việt Nam cần theo dõi sát sao các bản vá bảo mật cho PHP và kernel Linux để giảm thiểu rủi ro tương tự.
Dream, một công ty an ninh mạng, cho biết kẻ tấn công đã sử dụng một exploit PHP2Shell tùy chỉnh, không phải bản công khai nào, cùng với Fragnesia để leo thang đặc quyền. Họ nhắm mục tiêu vào các máy chủ chạy firewall của một nhà cung cấp lớn (tên không được tiết lộ).
Quá trình tấn công diễn ra như sau: kẻ tấn công sử dụng FOFA để tìm kiếm khoảng 19.000 firewall có giao diện quản lý mở trên internet. Sau đó, họ lọc danh sách này để tìm các máy chủ ở Mỹ, Nhật Bản, Đài Loan và Hàn Quốc chạy PHP 8.0.30. Cuối cùng, họ khai thác lỗ hổng PHP2Shell-Fragnesia để xâm nhập 24 máy chủ, sau đó là 2 máy chủ thuộc mạng lưới chính phủ Mỹ. Kẻ tấn công đã cố gắng truy cập Active Directory để đánh cắp thông tin đăng nhập và tạo tài khoản backdoor. https://securityaffairs.co/163703/security/php2shell-attack-us-government.html
Dream cũng phát hiện ra việc sử dụng các công cụ hỗ trợ AI như Anthropic's Claude Code, aiscan và API của FOFA trong quá trình tấn công, cho thấy sự kết hợp giữa kỹ thuật thủ công và tự động hóa bằng AI.
Câu hỏi thường gặp
PHP2Shell là gì?
PHP2Shell là một cặp lỗ hổng (CVE-2026-109618 và CVE-2026-109619) trong PHP có thể cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực.
Fragnesia (CVE-2026-46300) là gì?
Fragnesia là một lỗ hổng leo thang đặc quyền cục bộ trong kernel Linux. Kẻ tấn công có thể khai thác lỗ hổng này để có được quyền root trên hệ thống.
Kẻ tấn công đã sử dụng công cụ AI nào?
Kẻ tấn công đã sử dụng Anthropic's Claude Code, aiscan và API của FOFA. Việc sử dụng các công cụ này cho thấy sự kết hợp giữa kỹ thuật thủ công và tự động hóa bằng AI.
Góc nhìn của Orange Cloud
Theo chúng tôi, sự kiện này cho thấy các nhóm tấn công ngày càng sử dụng AI để tăng tốc và tự động hóa các cuộc tấn công mạng. Các doanh nghiệp Việt Nam nên xem xét việc sử dụng các công cụ phát hiện xâm nhập dựa trên AI để phát hiện sớm các hoạt động đáng ngờ. Điều đáng chú ý là việc bảo mật giao diện quản lý là rất quan trọng, vì đây là điểm khởi đầu của cuộc tấn công này.