Tấn công PHP2Shell gia tăng: AWS phát hiện hoạt động trước công bố
"The PHP2Shell vulnerabilities (CVE-2026-109618 and CVE-2026-109619) are being actively exploited, with millions of attack attempts reported by Cloudflare. Amazon detected exploitation attempts four days before public disclosure. These critical vulnerabilities affect PHP's memory handling, potentially allowing remote code execution, and impact a wide range of websites."
Các lỗ hổng PHP2Shell cho phép thực thi mã từ xa, gây ra rủi ro mất kiểm soát máy chủ.
Các trang web sử dụng PHP có thể bị tấn công, dẫn đến mất dữ liệu và gián đoạn dịch vụ.
Cloudflare báo cáo hàng triệu nỗ lực khai thác lỗ hổng PHP2Shell (CVE-2026-109618 và CVE-2026-109619). Amazon phát hiện các cuộc tấn công từ bốn ngày trước khi thông tin về lỗ hổng được công khai. Đây là các lỗ hổng nghiêm trọng ảnh hưởng đến cách PHP xử lý bộ nhớ, có thể cho phép thực thi mã từ xa trên máy chủ.
Cloudflare cho biết đã ghi nhận số lượng tấn công tăng vọt kể từ khi chi tiết về lỗ hổng được công bố. CEO Matthew Prince của Cloudflare cho biết họ phát hiện hàng nghìn nỗ lực khai thác trong 10 giờ trước khi lỗ hổng được công bố, tăng lên hàng chục nghìn trong 45 phút và hàng triệu sau đó.
Điều đáng chú ý là kẻ tấn công không chỉ sử dụng lại các payload cũ. Cloudflare nhận thấy chúng điều chỉnh payload để vượt qua tường lửa ứng dụng web (WAF), sử dụng phản hồi từ các yêu cầu bị chặn để tìm cách vượt qua.
Amazon Threat Intelligence cũng phát hiện nỗ lực khai thác PHP2Shell vào ngày 17 tháng 10, bốn ngày trước khi các bản vá được phát hành. Hoạt động này được ghi lại bởi MadPot, mạng lưới honeypot của Amazon. Amazon phát hiện nhiều bằng chứng khai thác vào ngày 21 tháng 10, với các payload khác nhau từ nhiều nguồn IP ẩn danh.
Các lỗ hổng này ảnh hưởng đến chính PHP runtime, gây rủi ro cho nhiều trang web bất kể hệ thống quản lý nội dung (CMS) nào họ sử dụng. Cloudflare đã triển khai bảo vệ WAF trên các gói miễn phí và trả phí, nhưng nhấn mạnh rằng việc vá lỗi vẫn là quan trọng nhất. Amazon khuyên các tổ chức nên điều tra các hoạt động đáng ngờ từ ngày 17 tháng 10 trở lại đây. https://www.theregister.com/2026/10/22/php2shell_attacks_begin_before_disclosure/
Câu hỏi thường gặp
Lỗ hổng PHP2Shell là gì?
Đây là hai lỗ hổng (CVE-2026-109618 và CVE-2026-109619) trong cách PHP xử lý bộ nhớ, có thể cho phép kẻ tấn công thực thi mã từ xa trên máy chủ.
Khi nào các cuộc tấn công bắt đầu?
Amazon phát hiện các nỗ lực khai thác từ ngày 17 tháng 10, bốn ngày trước khi thông tin về lỗ hổng được công khai. Cloudflare ghi nhận số lượng tấn công tăng vọt sau khi thông tin được công bố.
Cloudflare đã làm gì để đối phó?
Cloudflare đã triển khai các biện pháp bảo vệ WAF trên các gói miễn phí và trả phí, nhưng nhấn mạnh rằng việc vá lỗi vẫn là quan trọng nhất.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc các cuộc tấn công bắt đầu trước khi công bố lỗ hổng cho thấy một số kẻ tấn công đã có thông tin về PHP2Shell từ trước. Các doanh nghiệp Việt Nam sử dụng PHP cần ưu tiên vá lỗi ngay lập tức. Điều đáng chú ý là việc Amazon phát hiện hoạt động tấn công sớm cho thấy tầm quan trọng của việc sử dụng honeypot để phát hiện các mối đe dọa.