PHP2Shell bắt đầu bị khai thác: báo cáo đầu tiên về các vụ xâm nhập

Chuyện gì đang xảy ra với PHP2Shell

Hai lỗ hổng PHP vừa được công bố cách đây không lâu, gọi chung là PHP2Shell (CVE-2026-109618 và CVE-2026-109619), đang bước vào giai đoạn bị khai thác thực tế. Theo The Record, hãng bảo mật GreyNoise cho biết đã quan sát được ít nhất sáu vụ khai thác thành công hai lỗ hổng này. Cùng lúc, công ty bảo mật Dream công bố một báo cáo dài, cáo buộc một nhóm tấn công Trung Quốc đã xâm nhập các máy chủ "liên quan đến chính phủ Mỹ" bằng cách kết hợp PHP2Shell với một lỗ hổng leo thang đặc quyền khác.

Điều đáng chú ý không chỉ là con số sáu vụ khai thác, mà là cách các nhóm tấn công đang vận hành: quét diện rộng, lọc mục tiêu theo quốc gia và phiên bản phần mềm, rồi phát triển exploit riêng cho từng nền tảng. Đây là dấu hiệu cho thấy PHP2Shell không còn là câu chuyện lý thuyết trên giấy.

Chi tiết chính từ các báo cáo

GreyNoise: sáu vụ khai thác thành công

GreyNoise ghi nhận ít nhất sáu lần khai thác thành công CVE-2026-109618 và CVE-2026-109619. Hai lỗ hổng này đã được thêm vào danh mục lỗ hổng bị khai thác của chính phủ Mỹ trong tuần, và các cơ quan liên bang được yêu cầu cài bản vá trước thứ Năm. The Record không nêu chi tiết quy mô hay danh tính nạn nhân của sáu vụ mà GreyNoise thấy.

Dream: chiến dịch nhắm mục tiêu hẹp, nghi do nhóm Trung Quốc

Báo cáo của Dream mô tả một chiến dịch có chủ đích rõ ràng. Kfir Fleischer, phó chủ tịch nghiên cứu an ninh mạng của Dream, nói với Recorded Future News rằng kẻ tấn công dùng PHP2Shell để thực thi lệnh trên thiết bị firewall, nhưng chỉ vậy thì chưa đủ kiểm soát hoàn toàn. Vì thế chúng nối thêm CVE-2026-46300, một lỗ hổng leo thang đặc quyền trên Linux, cũng vừa được thêm vào cùng danh mục lỗ hổng bị khai thác của Mỹ trong tuần.

Nhóm nghiên cứu cho biết đã thu hồi được "một bản triển khai PHP2Shell tùy biến dành riêng cho nền tảng firewall bị nhắm tới, các profile theo phiên bản, log khai thác và script hậu khai thác". Theo Fleischer, log ghi lại việc khai thác thành công, bao gồm cả bước xác minh quyền root bằng cách chạy lệnh id qua webshell đã cài.

Tổng cộng, Dream phát hiện 24 firewall bị xâm nhập, cho phép kẻ tấn công trích xuất thông tin đăng nhập và liệt kê thư mục. Phần lớn các cuộc tấn công diễn ra trong hai ngày 23 và 24/10. Fleischer nói Dream đang phối hợp với nhà cung cấp firewall và cơ quan chức năng để điều tra. CISA từ chối bình luận về báo cáo, chỉ dẫn tới các khuyến cáo trước đó về PHP2Shell.

Cách nhóm tấn công lọc mục tiêu

Theo báo cáo, kẻ tấn công dùng FOFA — công cụ tìm kiếm tài sản internet của Trung Quốc, tương tự Shodan — để xác định khoảng 19.000 firewall lộ diện trên internet. Danh sách này được thu hẹp còn khoảng 5.000, rồi lọc tiếp để chỉ giữ máy chủ ở Mỹ, Nhật Bản, Đài Loan và Hàn Quốc. Sau đó, dựa trên profile khai thác, chúng rút xuống còn 240 firewall trong danh sách mục tiêu.

Với 22 trong số 24 firewall bị tấn công, nhóm này chỉ cài webshell để truy cập về sau. Fleischer giải thích rằng trong quá trình khai thác hàng loạt, chúng phát hiện hai máy chủ liên quan chính phủ trong số firewall bị xâm nhập, và dồn nỗ lực vào hai mục tiêu này với một cuộc tấn công tùy biến. Một trong hai firewall bị sập và không trở lại trực tuyến; chiếc còn lại bị nhắm tới nhiều lần.

Theo báo cáo, hai máy chủ này thuộc cùng một mục tiêu và đều nằm trong môi trường mà Dream cho là liên quan đến chính phủ Mỹ. Sau khi vào được, kẻ tấn công "khoanh vùng ba máy chủ cụ thể" trong môi trường đó. Dream không xác định được mức độ thiệt hại đầy đủ, nhưng nhận định nhóm tấn công có khả năng vẫn duy trì truy cập từ xa dai dẳng vào mạng nội bộ, đồng thời có được "bản thiết kế tổ chức" đầy đủ qua danh sách người dùng và nhóm trong Active Directory. Chúng cũng lấy được thông tin đăng nhập, khóa riêng và sơ đồ mạng gồm địa chỉ IP.

Ảnh: The Record

Vì sao Dream quy cho nhóm Trung Quốc

Fleischer nêu ba căn cứ: sử dụng tiếng Trung, dùng các công cụ Trung Quốc đã biết, và dùng mô hình AI của Trung Quốc. Nhóm nghiên cứu tìm thấy bằng chứng rằng Claude Code đã được cài đặt, và các nền tảng như FOFA, DeepSeek và Kimi đã được dùng. Cần lưu ý đây là đánh giá quy kết của Dream, không phải kết luận của cơ quan điều tra.

Vì sao đáng quan tâm với người làm kỹ thuật ở Việt Nam

Với đội bảo mật và quản trị hệ thống, câu chuyện này mang vài bài học khá trực tiếp.

Thứ nhất, firewall và thiết bị biên vẫn là mục tiêu ưu tiên. Chúng lộ diện trên internet, thường chạy firmware ít được cập nhật, và một khi bị chiếm, kẻ tấn công có bàn đạp để đi sâu vào mạng nội bộ. Việc Dream tìm thấy thông tin đăng nhập, khóa riêng và sơ đồ mạng trong thiết bị bị xâm nhập cho thấy rủi ro không dừng ở chiếc firewall.

Thứ hai, một lỗ hổng thực thi lệnh chưa đủ để kiểm soát hoàn toàn. Việc nối PHP2Shell với CVE-2026-46300 để từ shell không đặc quyền lên root và quyền kernel là bước leo thang quen thuộc. Marcus Hutchins, chuyên gia của Expel đang theo dõi sát các nỗ lực khai thác PHP2Shell, nói với The Record rằng việc phải nối thêm một exploit leo thang đặc quyền kernel là điều đã được dự đoán, vì nó cho phép kẻ tấn công "đi từ truy cập shell không đặc quyền lên quyền root và kernel đầy đủ, tức là làm được gần như mọi thứ thiết bị có thể làm".

Thứ ba, kỹ thuật quét và lọc mục tiêu không chỉ dành cho firewall. John Gallagher của Viakoo cảnh báo rằng cùng phương pháp dùng công cụ quét để tìm hệ thống OT lộ diện internet đang dùng PHP2Shell có thể áp dụng cho nhiều loại thiết bị khác ngoài firewall. Ông cũng nhấn mạnh với các thiết bị end-of-life dùng PHP2Shell, "thời gian là yếu tố then chốt để thay thế và đưa chúng ra khỏi mạng".

Với các doanh nghiệp Việt Nam có firewall, VPN, router hoặc thiết bị OT lộ ra internet, đây là lúc rà lại danh sách thiết bị biên, kiểm tra phiên bản firmware và tiến độ vá. Các tổ chức dùng PHP trong ứng dụng cũng nên xem lại bản vá cho hai CVE nói trên thay vì chờ tới khi có sự cố.

Ai nên hành động và cách kiểm tra nhanh

Nhóm cần ưu tiên gồm quản trị hệ thống, đội SOC, kỹ sư hạ tầng mạng và cả nhóm phát triển vận hành ứng dụng PHP.

Các bước có thể làm ngay:

• Kiểm kê toàn bộ thiết bị biên lộ diện internet: firewall, VPN, router, thiết bị OT. Đối chiếu với danh mục lỗ hổng bị khai thác của Mỹ để xem thiết bị nào dính CVE-2026-109618, CVE-2026-109619 và CVE-2026-46300.
• Vá theo khuyến cáo của nhà cung cấp; với thiết bị đã hết hỗ trợ, lên kế hoạch thay thế và tách khỏi mạng.
• Tìm dấu hiệu webshell trên thiết bị và máy chủ PHP: file lạ trong thư mục web, tiến trình chạy lệnh hệ thống bất thường, kết nối ra ngoài không rõ nguồn.
• Rà log truy cập vào các giao diện quản trị firewall, đặc biệt quanh các đợt tấn công hàng loạt như ngày 23–24/10 mà Dream ghi nhận.
• Nếu phát hiện thiết bị bị xâm nhập, giả định rằng thông tin đăng nhập, khóa riêng và cấu trúc mạng đã bị lộ, rồi xoay vòng toàn bộ bí mật liên quan.

Lưu ý và hạn chế

Các báo cáo này còn khá sớm và chưa được xác minh độc lập đầy đủ. GreyNoise mới nêu con số sáu vụ khai thác thành công mà không công bố chi tiết nạn nhân. Báo cáo của Dream là cáo buộc của một hãng bảo mật thương mại, chưa có xác nhận từ CISA hay cơ quan chức năng; CISA từ chối bình luận. Dream cũng không nêu rõ mức độ liên kết của các máy chủ với chính phủ Mỹ. Việc quy kết cho một nhóm Trung Quốc dựa trên tiếng Trung, công cụ và mô hình AI được dùng — đây là suy luận kỹ thuật, không phải kết luận pháp lý.

Một điểm đáng cân nhắc: các chuyên gia từng nói rằng phần lớn khai thác PHP2Shell sẽ cần exploit tùy biến, và báo cáo của Dream cho thấy điều đó đang xảy ra. Nhưng điều này cũng có nghĩa là các vụ khai thác đại trà, tự động có thể chưa phổ biến bằng các chiến dịch có chủ đích.

Kết

PHP2Shell đang chuyển từ giai đoạn cảnh báo sang giai đoạn có thiệt hại thực tế. Điều đáng lo không nằm ở con số sáu, mà ở cách một nhóm tấn công đã dùng công cụ quét, lọc mục tiêu theo quốc gia và phiên bản, rồi viết exploit riêng cho nền tảng firewall. Với người làm kỹ thuật, việc cần làm vẫn là những bước cơ bản nhưng thường bị trì hoãn: biết mình có thiết bị gì lộ ra internet, vá kịp thời và loại bỏ những thiết bị không còn được hỗ trợ.

Nguồn: The Record