Palo Alto Networks xác nhận các lỗ hổng PHP2Shell đang bị khai thác tích cực trên giao diện quản lý công khai

Palo Alto Networks đã xác nhận rằng các nhóm đe dọa đang tích cực khai thác các lỗ hổng PHP nghiêm trọng trong giao diện quản lý tường lửa của hãng, vốn được tiếp xúc với internet công cộng. Cảnh báo này, được đưa ra vào thứ Tư, theo sau các báo cáo từ công ty an ninh mạng Dream về một nhóm nghi ngờ có liên quan đến Trung Quốc xâm nhập vào các máy chủ ở nhiều quốc gia. Diễn biến này đánh dấu sự leo thang đáng kể trong việc khai thác các lỗ hổng PHP2Shell mới được vá gần đây.

Điều gì đã xảy ra

Các lỗ hổng, được xác định là CVE-2026-109618 và CVE-2026-109619, có điểm CVSS là 9.2 và cho phép thực thi mã từ xa mà không cần xác thực trên các hệ thống chạy phiên bản PHP bị ảnh hưởng. Những vấn đề này đã được PHP Foundation vá vào ngày 21 tháng 10 năm 2026, trong các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Tuy nhiên, kẻ tấn công hiện đang nhắm mục tiêu vào các thiết bị chưa được cập nhật hoặc vẫn còn tiếp xúc với lưu lượng truy cập bên ngoài.

Công ty an ninh mạng Dream báo cáo đã quan sát thấy một nhóm đe dọa kết hợp các lỗ hổng PHP này với một lỗi leo thang đặc quyền kernel Linux, được theo dõi dưới tên Fragnesia (CVE-2026-46300). Sự kết hợp này cho phép kẻ tấn công giành quyền root trên 25 máy chủ tại Mỹ, Nhật Bản, Đài Loan và Hàn Quốc, bao gồm ba hệ thống liên quan đến môi trường thuộc chính phủ Mỹ. Sau đó, kẻ tấn công nhắm mục tiêu vào Active Directory, trích xuất thông tin đăng nhập và liệt kê cấu trúc thư mục.

Để đáp lại, Cơ quan An ninh Mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) đã thêm CVE-2026-46300 vào danh mục Các lỗ hổng bị khai thác đã biết (Known Exploited Vulnerabilities catalog), yêu cầu các cơ quan liên bang áp dụng các bản sửa lỗi trước ngày 31 tháng 10 năm 2026. CISA lưu ý rằng lỗ hổng này có thể được kết hợp với các lỗ hổng PHP để cài đặt web shell và thực thi lệnh với đặc quyền root. Palo Alto Networks tuyên bố rằng mặc dù chỉ một phần nhỏ trong số các sản phẩm đã triển khai toàn cầu của họ có giao diện quản lý tiếp xúc với internet, nhưng những khách hàng đó đã được liên hệ riêng lẻ.

Chi tiết chính

• Lỗ hổng: CVE-2026-109618 và CVE-2026-109619 (CVSS 9.2) cho phép thực thi mã từ xa mà không cần xác thực thông qua các lỗ hổng PHP2Shell.
• Chuỗi khai thác: Kẻ tấn công kết hợp các lỗ hổng PHP với CVE-2026-46300 (Fragnesia, CVSS 7.8) để đạt được quyền root trên các hệ thống tường lửa dựa trên Linux.
• Phạm vi tác động: Dream quan sát thấy sự xâm nhập trên 25 máy chủ trải dài khắp Mỹ, Nhật Bản, Đài Loan và Hàn Quốc, bao gồm cả các hệ thống liên quan đến chính phủ Mỹ.
• Giao diện bị ảnh hưởng: Vấn đề chỉ ảnh hưởng nghiêm ngặt đến giao diện web quản lý (HTTPS UI và XML API), đặc biệt khi chúng được tiếp xúc với địa chỉ IP bên ngoài.
• Trạng thái vá lỗi: Các bản sửa lỗi có sẵn cho hầu hết các phiên bản PAN-OS, với một số bản phát hành dự kiến vào ngày 30 tháng 10 năm 2026.
• Phản hồi của nhà cung cấp: Palo Alto Networks xác nhận việc khai thác và kêu gọi ngay lập tức loại bỏ quyền truy cập internet công cộng vào các giao diện quản lý.

Bối cảnh

PHP2Shell đề cập đến một lớp các lỗ hổng trong PHP cho phép kẻ tấn công thực thi các lệnh hệ thống tùy ý thông qua các ứng dụng web. Khi những lỗ hổng như vậy tồn tại trong giao diện quản lý thiết bị mạng, chúng cung cấp một con đường trực tiếp cho kẻ tấn công để kiểm soát hệ điều hành cơ bản. Trong trường hợp này, tường lửa chạy một hệ điều hành dựa trên Linux, khiến nó dễ bị tổn thương bởi các lỗi leo thang đặc quyền cục bộ như Fragnesia một khi quyền truy cập ban đầu được thiết lập.

Các giao diện quản lý trên tường lửa được thiết kế cho các nhiệm vụ quản trị và lý tưởng nhất là chỉ nên có thể truy cập từ các mạng nội bộ đáng tin cậy. Việc tiếp xúc các giao diện này với internet công cộng làm tăng đáng kể bề mặt tấn công, vì nó cho phép bất kỳ ai thử brute-force xác thực hoặc khai thác các lỗ hổng chưa được vá. Các thực hành tốt nhất quy định hạn chế quyền truy cập vào các phạm vi IP nội bộ cụ thể và sử dụng mạng riêng ảo (VPN) cho việc quản trị từ xa.

Tại sao điều này quan trọng

Đối với các nhóm quản lý cơ sở hạ tầng của riêng mình, sự cố này nhấn mạnh tầm quan trọng then chốt của phân đoạn mạng và kiểm soát truy cập nghiêm ngặt. Ngay cả khi bạn vá các hệ thống của mình kịp thời, việc tiếp xúc các cổng quản lý với internet vẫn khiến chúng dễ bị tổn thương bởi các cuộc tấn công zero-day hoặc khai thác nhanh chóng các lỗ hổng mới được công bố. Tốc độ mà các nhóm đe dọa kết hợp những lỗ hổng này chứng minh rằng các chiến lược phòng thủ theo chiều sâu (defense-in-depth) là thiết yếu, không phải tùy chọn.

Các môi trường tự lưu trữ (self-hosting) thường phụ thuộc vào các thiết bị bảo mật biên như tường lửa để bảo vệ các dịch vụ nội bộ. Nếu bản thân tường lửa bị xâm nhập, toàn bộ mạng nội bộ sẽ trở nên dễ bị tổn thương. Việc trích xuất thông tin đăng nhập Active Directory được đề cập trong báo cáo gợi ý rằng kẻ tấn công sử dụng các chỗ đứng này để di chuyển ngang, có khả năng làm suy yếu các máy chủ email, cơ sở dữ liệu và các ứng dụng kinh doanh quan trọng khác. Đảm bảo rằng các giao diện quản lý không bao giờ có thể truy cập công khai là một bước cơ bản trong việc bảo vệ stack tự lưu trữ của bạn.

Bạn có thể làm gì

• Hạn chế quyền truy cập ngay lập tức: Đảm bảo rằng các giao diện quản lý tường lửa không thể truy cập từ internet công cộng. Chỉ cho phép kết nối từ các địa chỉ IP nội bộ đáng tin cậy.
• Áp dụng các bản vá: Cập nhật PAN-OS lên các phiên bản đã được sửa lỗi được liệt kê trong khuyến nghị. Kiểm tra các bản cập nhật hàng ngày cho đến khi tất cả các phiên bản liên quan đều được vá.
• Bật tính năng ngăn chặn mối đe dọa: Nếu bạn không thể vá ngay lập tức, hãy bật các hồ sơ ngăn chặn mối đe dọa trên lưu lượng truy cập đến các dịch vụ quản lý và giải mã lưu lượng truy cập đến để kiểm tra.
• Kiểm toán mức độ tiếp xúc: Sử dụng các công cụ quản lý bề mặt tấn công để xác minh rằng không có cổng quản lý nào vô tình bị tiếp xúc với internet.
• Giám sát nhật ký: Xem xét nhật ký tường lửa để tìm các mẫu truy cập bất thường hoặc các nỗ lực xác thực thất bại trên giao diện quản lý.
• Thay thế chứng chỉ: Như một bước giảm thiểu, hãy thay thế chứng chỉ được sử dụng cho việc quản lý lưu lượng truy cập đến để phá vỡ các cuộc tấn công man-in-the-middle tiềm năng.