Lỗ hổng RCE nghiêm trọng trong PHP và GitLab cùng sự cố rò rỉ CA của eMudhra

Tuần lễ ngày 20 tháng 10 năm 2026 chứng kiến một loạt các sự cố bảo mật nghiêm trọng ảnh hưởng đến các thành phần phần mềm được sử dụng rộng rãi. Tổ chức PHP Foundation và GitLab đã phát hành các bản vá khẩn cấp cho các lỗ hổng cho phép thực thi mã từ xa không cần xác thực, trong khi tổ chức chứng chỉ số Ấn Độ eMudhra đã ngừng hoạt động sau khi các khóa riêng tư của họ bị xâm phạm. Những sự kiện này nhấn mạnh tính dễ tổn thương của cả mã ứng dụng lẫn hạ tầng tin cậy bảo vệ giao tiếp web.

Chuyện gì đã xảy ra

Hai lỗ hổng nghiêm trọng trong PHP, được theo dõi dưới mã CVE-2026-109618 và CVE-2026-109619, đã được công bố với tên gọi PHP2Shell. Các lỗi này cho phép kẻ tấn công thực thi mã tùy ý trên máy chủ mà không cần xác thực. Sau khi thông tin được công khai, Cloudflare báo cáo đã phát hiện hàng triệu nỗ lực quét nhắm vào những điểm yếu này. Mặc dù chưa có vụ khai thác thành công nào được xác nhận, nhưng khối lượng lớn các cuộc thăm dò và sự phổ biến của PHP đã khiến một số nhà vận hành website tạm thời đưa dịch vụ của họ ngoại tuyến để phòng ngừa.

Đồng thời, mô hình tin cậy đối với chứng chỉ HTTPS phải chịu một đòn giáng đáng kể. Tám chứng chỉ CA trung gian từ eMudhra được phát hiện sử dụng các khóa riêng tư cực kỳ yếu, khiến chúng dễ bị làm giả. Sự xâm phạm này có nghĩa là kẻ tấn công có thể tiềm năng phát hành các chứng chỉ hợp lệ cho bất kỳ tên miền nào, tạo điều kiện cho các cuộc tấn công man-in-the-middle. Để phản hồi, các trình duyệt lớn như Safari của Apple đã bắt đầu tự động chặn các chứng chỉ bị ảnh hưởng. Python cũng cập nhật một số gói, bao gồm certifi và pip, để loại bỏ CA gốc emSign bị xâm phạm khỏi các gói tin cậy của họ. Do đó, eMudhra đã tuyên bố rút khỏi lĩnh vực kinh doanh phát hành chứng chỉ.

Các sự cố đáng chú ý khác bao gồm việc phát hiện Plex2Shell, một chuỗi bốn lỗ hổng trong Plex Media Server đang bị khai thác tích cực để triển khai các trình đào tiền điện tử. GitLab đã vá một lỗi tràn số nguyên nghiêm trọng, CVE-2026-110264, với điểm CVSS hoàn hảo là 10.0, có thể cho phép thực thi mã không cần xác thực. Ngoài ra, một cuộc tấn công chuỗi cung ứng vào LiteLLM đã được truy vết ngược về một master key bị rò rỉ trên GitHub, dẫn đến một phiên bản gói độc hại thu thập thông tin đăng nhập và cài đặt backdoor.

Chi tiết chính

• Các lỗ hổng PHP2Shell (CVE-2026-109618, CVE-2026-109619) đã kích hoạt hàng triệu cuộc quét nhưng chưa có vụ khai thác thành công nào được xác nhận.
• eMudhra rút khỏi thị trường chứng chỉ TLS sau khi các khóa riêng tư yếu cho phép khả năng làm giả các chứng chỉ tin cậy.
• Apple và Python đã cập nhật hệ thống của họ để chặn hoặc loại bỏ các chứng chỉ CA gốc emSign bị xâm phạm của eMudhra.
• GitLab đã sửa lỗi CVE-2026-110264, một lỗ hổng thực thi mã từ xa nghiêm trọng với điểm CVSS 10.0, trong nhiều phiên bản gần đây.
• Các lỗ hổng trong Plex Media Server đang bị khai thác tích cực ngoài thực tế để cài đặt các trình đào tiền và phần mềm proxy.
• Một master key của LiteLLM bị rò rỉ đã dẫn đến một cuộc tấn công chuỗi cung ứng, nơi mã độc tự động thực thi khi khởi động Python.

Bối cảnh

Thực thi mã từ xa (RCE) là một trong những loại lỗ hổng bảo mật nguy hiểm nhất. Nó cho phép kẻ tấn công chạy các lệnh tùy ý trên máy chủ, thực chất trao cho họ toàn quyền kiểm soát hệ thống. Khi một lỗ hổng RCE không yêu cầu xác thực, điều đó có nghĩa là kẻ tấn công không cần tên người dùng hay mật khẩu để khai thác nó, khiến mức độ nghiêm trọng đặc biệt cao. Đây là lý do tại sao các lỗi như PHP2Shell và lỗi tràn số nguyên của GitLab được xử lý với sự khẩn cấp cực độ.

Tổ chức chứng chỉ số (CA) là các thực thể tin cậy phát hành chứng chỉ kỹ thuật số để xác minh danh tính của các trang web. Trình duyệt và hệ điều hành duy trì một danh sách các CA gốc tin cậy. Nếu khóa riêng tư của một CA yếu hoặc bị xâm phạm, kẻ tấn công có thể tạo ra các chứng chỉ giả mà trình duyệt sẽ chấp nhận là hợp lệ. Điều này phá vỡ mô hình mã hóa và tin cậy của HTTPS, cho phép kẻ tấn công chặn và sửa đổi lưu lượng giữa người dùng và trang web mà không kích hoạt cảnh báo bảo mật.

Tại sao điều này quan trọng

Đối với các đội ngũ vận hành phần mềm tự host, các lỗ hổng PHP và GitLab đại diện cho rủi ro vận hành tức thì. Nhiều công cụ nội bộ, bảng điều khiển và quy trình phát triển phụ thuộc vào các nền tảng này. Một lỗ hổng RCE không cần xác thực có nghĩa là nếu máy chủ của bạn được kết nối với internet, dù chỉ trong thời gian ngắn, nó có thể bị xâm phạm trước khi bạn có cơ hội vá lỗi. Khối lượng lớn hoạt động quét cho thấy các bot tự động đã săn lùng các instance dễ tổn thương, thu hẹp cửa sổ an toàn cho các hệ thống chưa được vá.

Sự cố xâm phạm của eMudhra làm nổi bật một rủi ro phụ thuộc thường bị bỏ qua. Ngay cả khi hạ tầng của bạn an toàn, bạn vẫn dựa vào các CA bên thứ ba để có chứng chỉ TLS hợp lệ. Khi một CA lớn bị xâm phạm, nó có thể gây gián đoạn dịch vụ nếu trình duyệt chặn chứng chỉ của họ, hoặc tệ hơn, phơi bày người dùng trước các cuộc tấn công chặn đứng tinh vi. Đối với các quản trị viên IT, điều này nhấn mạnh nhu cầu giám sát không chỉ chứng chỉ của riêng bạn, mà còn trạng thái tin cậy của chính các đơn vị phát hành.

Các cuộc tấn công chuỗi cung ứng, như vụ ảnh hưởng đến LiteLLM, chứng minh rằng các lỗ hổng có thể xâm nhập vào môi trường của bạn thông qua các dependency mà bạn không trực tiếp viết. Một khóa bị rò rỉ duy nhất có thể xâm phạm hàng nghìn người dùng downstream. Điều này làm cho việc xác minh tính toàn vẹn của các gói và quản lý bí mật một cách chặt chẽ trở nên thiết yếu, đặc biệt là trong các công cụ AI và phát triển nơi API keys rất phổ biến.

Bạn có thể làm gì

• Cập nhật PHP lên phiên bản đã vá mới nhất ngay lập tức để giảm thiểu các lỗ hổng PHP2Shell.
• Nâng cấp GitLab lên một trong các phiên bản đã sửa (ví dụ: 19.5.1, 19.4.3) để giải quyết lỗ hổng RCE nghiêm trọng.
• Kiểm tra xem hệ thống của bạn có tin tưởng các chứng chỉ eMudhra hoặc emSign không và loại bỏ chúng khỏi kho lưu trữ tin cậy nếu có.
• Kiểm toán các cài đặt Plex Media Server của bạn và áp dụng các bản vá để ngăn chặn việc khai thác tích cực bởi Plex2Shell.
• Xoay vòng (rotate) bất kỳ API keys hoặc bí mật nào được lưu trữ trong LiteLLM hoặc các nền tảng tương tự nếu chúng có thể truy cập được trước ngày 21 tháng 10 năm 2026.
• Giám sát lưu lượng mạng outbound của bạn để tìm các kết nối bất thường có thể chỉ ra một máy chủ bị xâm phạm đang gửi dữ liệu ra ngoài.