Lỗ hổng PHP2Shell buộc các tổ chức trên toàn cầu phải khẩn cấp vá lỗi hạ tầng web trọng yếu

Vào thứ Tư, ngày 21 tháng 10 năm 2026, internet đã đối mặt với một sự gián đoạn gần như thảm khốc do hai lỗ hổng nghiêm trọng trong PHP, ngôn ngữ lập trình cung cấp năng lượng cho khoảng 70% web. The PHP Foundation đã phát hành các bản vá khẩn cấp cho CVE-2026-109618 và CVE-2026-109619, được gọi chung là PHP2Shell, sau khi các nhà nghiên cứu tại Calif chứng minh rằng chúng có thể bị khai thác để thực thi mã từ xa mà không cần xác thực. Các ngành công nghiệp lớn, bao gồm ngân hàng, y tế và bán lẻ, đã tạm thời đưa dịch vụ ngoại tuyến để áp dụng các bản sửa lỗi trước khi những kẻ tấn công độc hại có thể đạt được mức độ khai thác quy mô lớn.

Chuyện gì đã xảy ra

Các nhà nghiên cứu bảo mật tại Calif đã xác định hai lỗi trong PHP tồn tại từ năm 2024 nhưng trước đây được cho là không thể khai thác. Khi phát hiện một vector tấn công khả thi, Calif đã cảnh báo The PHP Foundation, đơn vị này đã khởi xướng quy trình tiết lộ phối hợp. Quy trình này liên quan đến việc chia sẻ các bản vá dưới chế độ cấm vận chặt chẽ với các công ty internet lớn và nhà cung cấp dịch vụ lưu trữ web để cho phép họ có thời gian chuẩn bị phòng thủ trước khi chi tiết trở nên công khai. Tổ chức này đã công khai các bản sửa lỗi vào thứ Tư, nhằm mục đích bảo vệ hệ thống trước khi lạm dụng diện rộng có thể xảy ra.

Bất chấp những biện pháp phòng ngừa này, bằng chứng cho thấy hoạt động khai thác đã bắt đầu trước khi bản vá chính thức được phát hành. Amazon báo cáo đã phát hiện các nỗ lực khai thác đang hoạt động sớm nhất là vào ngày 17 tháng 10, một tuần trước khi bản sửa lỗi công khai. Vẫn chưa rõ làm thế nào những kẻ tấn công có được quyền truy cập sớm vào chi tiết lỗ hổng, mặc dù các giả thuyết bao gồm khám phá độc lập, hoạt động gián điệp hoặc rò rỉ trong giai đoạn cấm vận. The PHP Foundation lưu ý rằng một công ty có thể đã đẩy các bản vá lên môi trường sản xuất sớm vài giờ, tiềm ẩn nguy cơ lộ thông tin bản sửa lỗi cho những kẻ tấn công độc hại thông qua kỹ thuật dịch ngược.

Phản ứng diễn ra nhanh chóng và quyết liệt. Chính phủ kêu gọi hành động ngay lập tức, và nhiều tổ chức đã chọn cách tắt hoàn toàn máy chủ hướng ra web thay vì mạo hiểm vận hành phần mềm dễ bị tổn thương. Mặc dù khai thác quy mô lớn phần lớn đã được tránh nhờ nỗ lực phối hợp này, các công ty bảo mật như Palo Alto Networks và Trail of Bits đã xác nhận hoạt động sau khai thác trên các mục tiêu cụ thể. Các nhà nghiên cứu cảnh báo rằng mối đe dọa vẫn còn đối với các hệ thống chưa được vá, đặc biệt là hạ tầng cũ có thể không nhận được các bản cập nhật.

Chi tiết chính

• Các lỗ hổng được chỉ định là CVE-2026-109618 và CVE-2026-109619, được đặt tên chung là PHP2Shell.
• PHP cung cấp năng lượng cho khoảng 70% web, bao gồm các nền tảng lớn như WordPress, Drupal và Joomla.
• Các lỗi này cho phép thực thi mã từ xa mà không cần xác thực, trao cho kẻ tấn công toàn quyền kiểm soát mà không cần mật khẩu.
• Các nhà nghiên cứu của Calif đã phát hiện các phương thức khai thác vào năm 2024 nhưng chỉ mới tìm ra cách vũ khí hóa chúng gần đây.
• Amazon phát hiện các nỗ lực khai thác bắt đầu từ ngày 17 tháng 10, trước khi bản vá công khai vào ngày 21 tháng 10 được phát hành.
• Công cụ AI đã hỗ trợ trong quá trình khám phá, mặc dù chuyên môn con người vẫn đóng vai trò trung tâm trong phát hiện này.

Bối cảnh

PHP là một ngôn ngữ script mã nguồn mở được sử dụng rộng rãi cho phát triển web phía máy chủ. Tuổi thọ và tính dễ sử dụng của nó đã khiến nó trở nên phổ biến khắp nơi, nhưng cũng có nghĩa là phần lớn internet phụ thuộc vào các mã nguồn cũ. Những hệ thống cũ này thường gặp phải các lỗi "không an toàn về bộ nhớ" (memory unsafe), nơi việc xử lý dữ liệu trong bộ nhớ không đúng cách có thể dẫn đến vi phạm bảo mật nghiêm trọng. Theo Cơ quan An ninh Quốc gia (NSA), khoảng 75% các lỗ hổng đang bị khai thác tích cực bắt nguồn từ các vấn đề liên quan đến bộ nhớ.

Khái niệm tiết lộ phối hợp là thực hành tiêu chuẩn trong bảo mật mạng. Khi một lỗi nghiêm trọng được tìm thấy, các nhà nghiên cứu chia sẻ nó riêng tư với nhà cung cấp và các bên liên quan chính để cho phép phát triển bản vá trước khi công bố công khai. Khoảng thời gian này nhằm giảm thiểu thời gian mà kẻ tấn công có để khai thác lỗi một khi nó được biết đến. Tuy nhiên, như thấy với PHP2Shell, việc duy trì bí mật là rất khó khăn, và ngay cả một vụ rò rỉ ngắn cũng có thể cung cấp đủ thông tin cho những kẻ tấn công lành nghề để phát triển các phương thức khai thác.

Tại sao điều này quan trọng

Đối với các đội ngũ chạy phần mềm tự lưu trữ (self-hosted), sự cố này nhấn mạnh tính mong manh của việc phụ thuộc vào các thành phần mã nguồn mở được sử dụng rộng rãi. Nếu bạn quản lý các trang web WordPress, ứng dụng Laravel hoặc bất kỳ công cụ nội bộ dựa trên PHP nào, hạ tầng của bạn trực tiếp bị phơi bày trước các loại mối đe dọa này. Thực tế là hoạt động khai thác bắt đầu trước bản vá công khai có nghĩa là chỉ đơn giản chờ đợi một thông báo chính thức không phải lúc nào cũng đủ. Giám sát chủ động và khả năng phản ứng nhanh là thiết yếu để duy trì bảo mật trong các môi trường như vậy.

Hơn nữa, vai trò của AI trong việc phát hiện các lỗi này báo hiệu một sự thay đổi trong bối cảnh mối đe dọa. Khi các công cụ AI trở nên có khả năng phân tích mã để tìm lỗ hổng hơn, khoảng thời gian giữa khám phá và khai thác có thể thu hẹp. Điều này đặt áp lực lớn hơn lên các đội ngũ IT và DevOps để duy trì lịch trình cập nhật nghiêm ngặt và kế hoạch phản ứng sự cố vững chắc. Các hệ thống cũ, thường khó vá hơn, vẫn đặc biệt dễ bị tổn thương và có thể yêu cầu cô lập hoặc thay thế để giảm thiểu rủi ro dài hạn.

Bạn có thể làm gì

• Ngay lập tức cập nhật tất cả các cài đặt PHP lên phiên bản đã vá mới nhất do The PHP Foundation cung cấp.
• Kiểm toán máy chủ web của bạn để tìm bất kỳ dấu hiệu nào của truy cập trái phép hoặc hoạt động bất thường kể từ ngày 17 tháng 10.
• Xem xét và hạn chế quyền truy cập mạng vào các ứng dụng PHP nội bộ để giới hạn sự phơi bày trước các mối đe dọa bên ngoài.
• Triển khai giám sát tự động cho hết hạn chứng chỉ và tên miền để đảm bảo tính liên tục của dịch vụ trong thời gian bảo trì.
• Cân nhắc di chuyển các dịch vụ quan trọng sang các ngôn ngữ an toàn về bộ nhớ như Rust hoặc Python khi khả thi.
• Thiết lập một kế hoạch phản ứng sự cố rõ ràng bao gồm các quy trình cho việc vá lỗi khẩn cấp và khôi phục dịch vụ.