Phần lớn máy chủ PHP vẫn bị lộ trước các cuộc tấn công khai thác nghiêm trọng PHP2Shell bất chấp cảnh báo

Năm ngày sau khi hai lỗ hổng nghiêm trọng trong PHP, được biết đến với tên gọi PHP2Shell, được công bố rộng rãi, các công ty bảo mật cho biết phần lớn các hệ thống kết nối internet vẫn chưa được vá lỗi và đang bị tin tặc nhắm mục tiêu tích cực. Bất chấp những cảnh báo khẩn cấp từ các cơ quan chính phủ và các nhà cung cấp công nghệ lớn, nỗ lực khắc phục đã chậm trễ đáng kể so với tốc độ của các cuộc tấn công khai thác.

Chuyện gì đã xảy ra

Các lỗ hổng này, được xác định là CVE-2026-109618 và CVE-2026-109619, có điểm số Hệ thống chấm điểm lỗ hổng chung (CVSS) là 9,2, chỉ ra rủi ro nghiêm trọng về việc thực thi mã từ xa. Vì PHP chiếm khoảng 70% các trang web có ngôn ngữ phía máy chủ có thể nhận dạng được, bao gồm nhiều cài đặt WordPress, tác động tiềm tàng là rất lớn. Tuy nhiên, dữ liệu từ Ox Security tiết lộ rằng tính đến ngày 26 tháng 10, 93,6% hệ thống vẫn bị lộ trước các lỗ hổng này. Moshe Siman Tov Bustan từ Ox Security lưu ý rằng mặc dù sự hoảng loạn lan truyền qua các tiêu đề tin tức, việc vá lỗi thực tế hầu như không tiến triển, khiến các tài nguyên quan trọng không được bảo vệ ngay khi các bản thử nghiệm khai thác xuất hiện ngoài thực tế.

Các cuộc quét độc lập bởi các công ty bảo mật khác cũng xác nhận phản ứng chậm chạp này. Censys báo cáo rằng trong khi 11,2 triệu dịch vụ PHP dường như đã được vá, 32,5 triệu dịch vụ vẫn quảng bá các phiên bản không an toàn. Một phức tạp đáng kể là 58% các dịch vụ PHP được phát hiện, tổng cộng hơn 61 triệu, không tiết lộ số phiên bản của chúng, nhiều trong số đó có khả năng đang chạy phần mềm không còn được hỗ trợ. Flare phát hiện rằng gần ba phần tư trong số 2,2 triệu hồ sơ PHP mà họ theo dõi nằm trên các nhánh không còn được dự án PHP hỗ trợ. Tương tự, Mallory xác định khoảng 1,9 triệu dịch vụ kết nối internet, hay 73,5% mẫu của họ, đang chạy các phiên bản PHP không được hỗ trợ và không nhận được bản vá chính thức.

Chi tiết chính

• Ox Security báo cáo rằng 93,6% hệ thống vẫn bị lộ trước các lỗ hổng PHP2Shell năm ngày sau khi công bố.
• Các lỗ hổng CVE-2026-109618 và CVE-2026-109619 có điểm CVSS là 9,2 và cho phép thực thi mã từ xa.
• Dữ liệu từ Censys cho thấy 32,5 triệu dịch vụ PHP báo cáo các phiên bản không an toàn, trong khi 61,3 triệu dịch vụ ẩn thông tin phiên bản của chúng.
• Các nghiên cứu của Flare và Mallory chỉ ra rằng khoảng 73-75% các dịch vụ PHP được theo dõi chạy trên các nhánh không được hỗ trợ mà không có bản sửa lỗi chính thức.
• Cloudflare quan sát thấy các nỗ lực khai thác nhảy vọt từ hàng nghìn lên hàng triệu trong vòng vài giờ sau thông báo công khai.
• Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã bắt buộc các cơ quan liên bang phải khắc phục trước ngày 29 tháng 10 năm 2026.

Bối cảnh

PHP2Shell đề cập đến một cặp lỗ hổng nghiêm trọng cho phép kẻ tấn công thực thi mã tùy ý trên các máy chủ chạy phiên bản PHP dễ bị tổn thương. Khi một lỗ hổng được công bố, phản ứng tiêu chuẩn là áp dụng bản vá bảo mật do nhà duy trì phần mềm cung cấp. Đối với các phiên bản PHP được hỗ trợ, đây thường là một bản cập nhật đơn giản. Tuy nhiên, một phần lớn internet chạy trên các phiên bản PHP cũ, đã hết vòng đời (end-of-life) và không còn nhận được các bản cập nhật bảo mật từ dự án PHP. Trong những trường hợp này, quản trị viên không thể chỉ đơn giản vá phần mềm; họ phải nâng cấp toàn bộ môi trường PHP, điều thường đòi hỏi kiểm thử tính tương thích của ứng dụng và làm việc với các nhà cung cấp để đảm bảo ổn định. Sự phức tạp này làm chậm đáng kể nỗ lực khắc phục so với việc vá lỗi đơn giản.

Tại sao điều này quan trọng

Đối với các nhóm quản lý cơ sở hạ tầng tự lưu trữ (self-hosted), sự phổ biến của các phiên bản PHP không được hỗ trợ đặt ra một rủi ro vận hành nghiêm trọng. Nếu máy chủ của bạn đang chạy một nhánh PHP cũ, bạn không thể dựa vào một bản cập nhật gói đơn giản để sửa CVE-2026-109618 hoặc CVE-2026-109619. Thay vào đó, bạn đối mặt với một dự án di cư phức tạp có thể làm hỏng các ứng dụng hiện có. Sự chậm trễ trong việc vá lỗi có nghĩa là kẻ tấn công có một cửa sổ thời gian rộng để xâm nhập hệ thống trước khi các biện pháp phòng thủ được nâng cao. Như CEO Matthew Prince của Cloudflare đã quan sát thấy, các nỗ lực khai thác leo thang từ hàng nghìn lên hàng triệu trong vòng vài giờ sau thông báo, cho thấy các bot tự động đã đang quét tìm các mục tiêu dễ bị tổn thương.

Tình hình càng trở nên phức tạp hơn bởi thực tế là nhiều tổ chức không biết rằng họ đang chạy phần mềm không được hỗ trợ. Với 58% các dịch vụ PHP không tiết lộ số phiên bản, rất khó để đánh giá quy mô thực sự của sự phơi nhiễm. Các lệnh bắt buộc của chính phủ, chẳng hạn như thời hạn của CISA đối với các cơ quan liên bang Hoa Kỳ, nhấn mạnh mức độ nghiêm trọng của mối đe dọa, nhưng các thực thể khu vực tư nhân phải chủ động quản lý rủi ro của riêng mình. Việc không hành động có thể dẫn đến rò rỉ dữ liệu, gián đoạn dịch vụ hoặc chiếm quyền kiểm soát hoàn toàn hệ thống, như được chứng minh bởi các nỗ lực thực thi mã từ xa đã được xác nhận ghi lại bởi các nhà nghiên cứu bảo mật.

Bạn có thể làm gì

• Kiểm kê ngay lập tức kho máy chủ của bạn để xác định tất cả các instance đang chạy PHP, đặc biệt ghi chú rõ phiên bản và nhánh nào mỗi instance sử dụng.
• Ưu tiên nâng cấp bất kỳ hệ thống nào đang chạy các phiên bản PHP không được hỗ trợ lên một bản phát hành hiện đang được hỗ trợ, ngay cả khi điều này đòi hỏi phải tái cấu trúc ứng dụng.
• Áp dụng các bản vá bảo mật chính thức cho tất cả các hệ thống đang chạy các phiên bản PHP được hỗ trợ để giải quyết CVE-2026-109618 và CVE-2026-109619.
• Triển khai tường lửa ứng dụng web (WAF) hoặc hệ thống phát hiện xâm nhập để chặn các mẫu khai thác đã biết liên quan đến PHP2Shell.
• Cân nhắc tạm thời đưa các hệ thống không quan trọng hoặc rất dễ bị tổn thương ngoại tuyến nếu việc vá lỗi hoặc nâng cấp ngay lập tức không khả thi.
• Giám sát nhật ký để tìm dấu hiệu của các nỗ lực thực thi mã từ xa, chẳng hạn như các quá trình khởi tạo bất thường hoặc kết nối mạng không mong muốn từ các tiến trình máy chủ web.