Hàng triệu lượt thử khai thác PHP2Shell đã được ghi nhận sau khi hai lỗ hổng nghiêm trọng trong PHP được công bố. Một số hoạt động còn xuất hiện trước thời điểm phát hành bản vá, trong khi các payload liên quan cho thấy ý đồ triển khai mã độc botnet. Diễn biến này đặt ra yêu cầu cấp thiết: cập nhật PHP, đồng thời rà soát dấu hiệu xâm nhập trước và sau thời điểm vá.
PHP2Shell là tên gọi chung của CVE-2026-109618 và CVE-2026-109619, hai lỗ hổng trong lõi PHP có thể cho phép thực thi mã từ xa mà không cần xác thực. Cả hai được đánh giá CVSS v4.0 9.2 – mức nghiêm trọng.
PHP đã phát hành bản sửa ngày 21/10/2026. Tuy nhiên, tốc độ xuất hiện các lượt dò tìm và thử khai thác cho thấy khoảng thời gian để doanh nghiệp xử lý phơi nhiễm đang bị thu hẹp đáng kể.
Lượt thử khai thác tăng nhanh sau công bố
Theo số liệu được CEO Cloudflare Matthew Prince công bố, mạng lưới của hãng ghi nhận hàng nghìn lượt thử khai thác trong 10 giờ trước khi thông tin được công bố rộng rãi. Con số tăng lên hàng chục nghìn trong 45 phút sau công bố, hàng trăm nghìn trong hai giờ và sau đó đạt hàng triệu lượt.
Đây là số lượt thử khai thác được quan sát, không phải số máy chủ đã bị chiếm quyền. Một hệ thống có thể nhận nhiều yêu cầu tấn công, và nhiều yêu cầu có thể thất bại hoặc bị chặn.
Dù vậy, quy mô hoạt động cho thấy các hệ thống chưa vá có thể nhanh chóng trở thành mục tiêu của những chiến dịch quét tự động. Việc website vẫn hoạt động bình thường không đủ để xác nhận hệ thống chưa bị tác động.
Dấu hiệu tấn công xuất hiện trước khi có bản vá
Amazon Threat Intelligence phát hiện một lượt thử khai thác PHP2Shell từ ngày 17/10/2026 trong dữ liệu của hệ thống honeypot MadPot, sớm hơn bốn ngày so với thời điểm công bố và phát hành bản sửa. Hoạt động này xuất phát từ địa chỉ IP liên quan đến một mạng ẩn danh thương mại.
Amazon cũng ghi nhận thêm các lượt thử với payload và hạ tầng khác nhau, nhưng lưu ý chưa rõ chúng có thể thành công trên hệ thống thực tế hay không.
Với doanh nghiệp, mốc thời gian này có ý nghĩa trực tiếp đối với điều tra: không nên chỉ rà soát nhật ký từ ngày bản vá được phát hành. Nếu còn dữ liệu, cần mở rộng phạm vi kiểm tra về trước thời điểm công bố, bao gồm ít nhất từ ngày 17/10 đối với những hệ thống có nguy cơ.
Payload botnet xuất hiện, nhưng cần phân biệt ý đồ với kết quả
Một diễn biến đáng chú ý là các payload liên quan đến Potassium, biến thể được nhận định có nguồn gốc từ Mirai. Phân tích của Sophos cho thấy mẫu mã độc có chức năng tải thành phần tiếp theo và thực hiện tấn công từ chối dịch vụ phân tán DDoS.
Tuy nhiên, trong bản cập nhật lúc ngày 22/10, Sophos đã đính chính nhận định ban đầu về khai thác thành công. Hãng cho biết dữ liệu khách hàng ghi nhận hoạt động quét và một số lượt khai thác thất bại; payload không được triển khai do bị chặn, và chưa có bằng chứng xâm nhập thành công qua hai lỗ hổng trong phạm vi quan sát đó.
Thông tin này cần được diễn giải chính xác: đã xuất hiện ý đồ lợi dụng PHP2Shell để phát tán mã độc, nhưng chưa thể từ đó kết luận botnet đã lây nhiễm thành công trên diện rộng.
Đối với tổ chức vận hành máy chủ web, rủi ro không chỉ nằm ở việc website bị thay đổi nội dung. Nếu bị kiểm soát, tài nguyên máy chủ còn có thể bị sử dụng để phát tán mã độc, duy trì truy cập trái phép hoặc tham gia các hoạt động tấn công khác.
Hai lỗ hổng tác động trực tiếp đến lõi PHP
PHP2Shell liên quan đến cách PHP xử lý bộ nhớ khi quá trình tiếp nhận hoặc xử lý yêu cầu bị gián đoạn.
- CVE-2026-109618: tình trạng hết bộ nhớ có thể làm gián đoạn quá trình khởi tạo dữ liệu nội bộ. Khi dọn dẹp yêu cầu, PHP có thể xử lý dữ liệu chưa hoàn chỉnh như dữ liệu hợp lệ.
- CVE-2026-109619: trạng thái nội bộ của một yêu cầu có thể tồn tại sau khi vùng nhớ liên quan đã được giải phóng. Yêu cầu tiếp theo do cùng worker xử lý có thể truy cập trạng thái không còn hợp lệ.
Các lỗi này nằm ở runtime PHP, vì vậy chỉ cập nhật mã nguồn website, CMS hoặc plugin chưa đủ để khắc phục. Đội ngũ quản trị cần cập nhật chính môi trường PHP đang phục vụ ứng dụng.
Phiên bản nào cần cập nhật?
Các bản phát hành khắc phục gồm:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
Doanh nghiệp cần sử dụng các phiên bản này hoặc bản mới hơn đã chứa bản sửa. Với gói PHP do bản phân phối Linux hoặc nhà cung cấp hỗ trợ dài hạn quản lý, cần đối chiếu thông báo backport thay vì chỉ nhìn số phiên bản upstream.
Theo PHP, các môi trường phục vụ yêu cầu web đều cần được rà soát, bao gồm PHP-FPM, Apache với mod_php, php-cgi, FrankenPHP và LiteSpeed. Các nhánh PHP 8.1 trở về trước không còn nhận cập nhật thông thường từ dự án; tổ chức cần xác minh bản vá từ nhà cung cấp hoặc chuyển sang nhánh được hỗ trợ.
Cập nhật khẩn cấp cần đi cùng xác minh và truy vết
Kiểm kê đúng môi trường đang chạy. Xác định PHP tại máy chủ, container, hệ thống dự phòng và dịch vụ hosting. Không nên chỉ dựa vào kết quả kiểm tra PHP dòng lệnh, vì môi trường phục vụ web có thể sử dụng binary hoặc cấu hình khác.
Xác nhận bản vá đã có hiệu lực. Sau cập nhật, triển khai lại container hoặc khởi động lại các dịch vụ, worker theo hướng dẫn tương ứng. Kiểm tra phiên bản thực tế đang phục vụ lưu lượng.
Rà soát hoạt động trước thời điểm vá. Đối chiếu nhật ký truy cập, cảnh báo WAF/IPS và dữ liệu máy chủ. Tập trung vào thay đổi tệp bất thường, tiến trình con do dịch vụ web tạo ra, kết nối ra ngoài và dấu hiệu tải thực thi trái phép. Nếu phát hiện bất thường, cần bảo toàn dữ liệu phục vụ điều tra.
Giảm phơi nhiễm trong thời gian triển khai. AWS khuyến nghị cân nhắc chặn multipart tại những luồng không cần tải tệp, giới hạn kích thước yêu cầu và hạn chế các lượt thử lặp lại. Các thay đổi phải phù hợp với nghiệp vụ và được kiểm thử trước khi áp dụng. WAF hỗ trợ giảm bề mặt tấn công, nhưng không thay thế cập nhật PHP.
Chủ động bảo vệ hệ thống trong cuộc đua với khai thác tự động
PHP2Shell cho thấy phản ứng với lỗ hổng nghiêm trọng cần bao gồm cả hai câu hỏi: hệ thống đã được vá đầy đủ chưa, và có dấu hiệu bị xâm nhập trước đó không?
Theo góc nhìn của VNCS Global, hiệu quả phòng thủ phụ thuộc vào khả năng kết nối thông tin tài sản, trạng thái bản vá và dữ liệu giám sát. Khi các lượt thử khai thác tăng nhanh, doanh nghiệp cần ưu tiên hệ thống phơi nhiễm Internet, xác minh kết quả khắc phục và duy trì theo dõi sau cập nhật.
Khép lại điểm yếu, kiểm soát cả nguy cơ đã hiện hữu. Kết nối với VNCS Global để đánh giá mức độ phơi nhiễm, rà soát dấu hiệu xâm nhập và tăng cường khả năng bảo vệ hạ tầng web của doanh nghiệp.
