Ngày 22 tháng 10 năm 2026, hàng triệu lượt dò quét nhằm khai thác hai lỗ hổng nghiêm trọng trong PHP đã được ghi nhận sau khi các bản vá phát hành.
Sự việc buộc một số doanh nghiệp và cơ quan chính phủ tạm ngừng dịch vụ trực tuyến, đồng thời cho thấy khoảng thời gian từ lúc lỗ hổng được tiết lộ đến khi xuất hiện các cuộc tấn công đang ngày càng rút ngắn.
- Hai lỗ hổng PHP2Shell có điểm nghiêm trọng 9,2/10 và có thể dẫn đến thực thi mã từ xa trong một số điều kiện.
- Số lượt khai thác tăng từ hàng nghìn lên hàng triệu chỉ trong thời gian ngắn sau khi thông tin được công bố.
- Việc xác định mọi hệ thống đang chạy PHP và triển khai bản vá là thách thức chính đối với tổ chức sử dụng phần mềm này.
PHP2Shell gồm hai lỗ hổng nghiêm trọng
PHP2Shell là tên gọi chung của hai lỗ hổng CVE-2026-109618 và CVE-2026-109619, cùng có điểm nghiêm trọng 9,2/10 và có thể cho phép kẻ tấn công thực thi mã mà không cần đăng nhập trong một số điều kiện.
| Hạng mục | Chi tiết |
|---|---|
| Tên gọi chung | PHP2Shell |
| Mã lỗ hổng | CVE-2026-109618 và CVE-2026-109619 |
| Mức độ nghiêm trọng | 9,2/10 cho mỗi lỗ hổng |
| Phiên bản đã có bản vá | PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35 |
| Ngày phát hành bản vá | 21 tháng 10 năm 2026 |
PHP đã phát hành bốn bản sửa lỗi cho các nhánh phiên bản 8.5, 8.4, 8.3 và 8.2 vào ngày 21 tháng 10 năm 2026. Các lỗ hổng có thể làm hỏng bộ nhớ nội bộ của PHP; trong một số trường hợp, kẻ tấn công có thể chạy mã mà không cần xác thực.
NCSC của Anh cảnh báo lỗi có thể dẫn đến việc bộ nhớ bị thao túng, trong khi Wiz cho thấy dữ liệu nhạy cảm như mật khẩu và khóa API có thể bị rò rỉ từ bộ nhớ.
Phạm vi ảnh hưởng của PHP rất rộng
PHP được sử dụng trên 69,3% website có ngôn ngữ phía máy chủ được nhận diện, theo W3Techs; tỷ lệ này phản ánh mức độ phổ biến của PHP chứ không phải số website đã bị xâm nhập.
PHP có thể nằm trong các thiết bị hoặc sản phẩm bên thứ ba mà quản trị viên không thường xuyên kiểm tra. Danh sách rà soát của NCSC Hà Lan bao gồm một số sản phẩm của Fortinet, cho thấy việc lập danh mục đầy đủ các hệ thống sử dụng PHP có thể phức tạp.
Khoảng thời gian từ bản vá đến khai thác ngày càng ngắn
Khoảng thời gian giữa việc công bố lỗ hổng và sự gia tăng hoạt động khai thác PHP2Shell chỉ kéo dài trong thời gian ngắn, trong khi các công cụ trí tuệ nhân tạo có thể giúp xây dựng mã khai thác nhanh hơn.
Các nhà nghiên cứu đã sử dụng AI để hỗ trợ tái dựng mã khai thác những lỗ hổng đã tồn tại trong PHP nhiều năm. Các bản vá được phát hành sớm hơn dự kiến một ngày sau khi thông tin kỹ thuật bị rò rỉ.
AWS phát hiện dấu hiệu hoạt động trong dữ liệu honeypot MadPot vào ngày 17 tháng 10 năm 2026, tức bốn ngày trước khi lỗ hổng được công bố. Hiện chưa rõ nỗ lực đó có thành công hay không.
CJ Moses, giám đốc an ninh của AWS, cảnh báo kẻ tấn công sử dụng AI có thể tạo ra mối đe dọa chỉ trong vài giờ hoặc thậm chí vài phút sau khi thông tin được công bố.
Lượt khai thác tăng từ hàng nghìn lên hàng triệu
Số lượt dò quét nhằm khai thác PHP2Shell tăng nhanh sau khi thông tin được công bố ngày 21 tháng 10, từ hàng nghìn lượt lên hàng triệu lượt trong vài giờ.
| Mốc thời gian | Số lượt khai thác được ghi nhận |
|---|---|
| 10 giờ trước khi công bố | Hàng nghìn lượt |
| 45 phút sau khi công bố | Hàng chục nghìn lượt |
| Hai giờ tiếp theo | Hàng trăm nghìn lượt |
| Sau đó | Hàng triệu lượt |
Matthew Prince, giám đốc điều hành Cloudflare, công bố diễn biến này. Cloudflare đã triển khai biện pháp bảo vệ bằng tường lửa, nhưng biện pháp này không thay thế cho việc cài đặt bản vá.
Một số dịch vụ tạm ngừng để phòng ngừa
Một số doanh nghiệp và website chính phủ đã tạm dừng dịch vụ như biện pháp phòng ngừa sau khi hoạt động khai thác gia tăng, dù các lượt dò quét không đồng nghĩa với những vụ xâm nhập đã được xác nhận.
Reuters đưa tin Nomura, Mitsubishi UFJ, ANA, East Japan Railway và Orange đã tạm thời đình chỉ một số dịch vụ. Một số website chính phủ tại Phần Lan, Hà Lan và Pháp cũng từng ngoại tuyến trong thời gian ngắn.
Chưa ghi nhận thực thi mã từ xa thành công
Hiện chưa có xác nhận về một vụ thực thi mã từ xa thành công thông qua PHP2Shell, dù hoạt động dò quét và khai thác thử nghiệm đã tăng mạnh.
Elizabeth Barron, giám đốc điều hành PHP Foundation, cho biết với WIRED:
Theo hiểu biết của chúng tôi, chưa có nỗ lực thực thi mã từ xa nào thành công.
– Elizabeth Barron, giám đốc điều hành PHP Foundation
Searchlight Cyber đã phát hành công cụ quét để xác định các máy chủ dễ bị tổn thương. Công cụ này cố tình kiểm tra tình trạng cạn kiệt bộ nhớ, vì vậy việc sử dụng cần được thực hiện thận trọng.
Chi tiêu cho an ninh mạng AI tiếp tục tăng
Chi tiêu toàn cầu cho an ninh mạng sử dụng AI được dự báo đạt 51,3 tỷ USD trong năm 2026 và gần 86 tỷ USD trong năm 2027, theo dự báo của Gartner công bố ngày 16 tháng 9.
Dự báo này không xuất phát từ sự cố PHP2Shell. Vụ việc cho thấy các tổ chức cần nắm rõ phần mềm đang vận hành, triển khai bản vá nhanh và phát hiện dấu hiệu tấn công trước khi hoạt động độc hại gây gián đoạn.
Tổng kết
PHP2Shell cho thấy các lỗ hổng nghiêm trọng có thể nhanh chóng thu hút hàng triệu lượt khai thác sau khi được công bố. Việc kiểm kê hệ thống, cập nhật bản vá và theo dõi dấu hiệu tấn công vẫn là những biện pháp trọng tâm.
