Cloudflare ghi nhận hàng triệu lượt tấn công nhằm vào lỗ hổng PHP

Cloudflare (NET) ghi nhận hàng triệu lượt tấn công nhắm vào hai lỗ hổng thực thi mã từ xa trong bộ máy PHP. Quỹ PHP cho biết chưa xác định được trường hợp nào thực thi mã từ xa thành công. Nhóm phát triển PHP công bố bản cập nhật bảo mật vá hai lỗ hổng vào ngày 21 (giờ địa phương). Sau thông tin về bản vá và khuyến cáo của các cơ quan chức năng mà TokenPost đã đưa tin trước đó, diễn biến mới là quy mô tấn công Cloudflare quan sát được và xác nhận của Quỹ PHP rằng chưa ghi nhận ca tấn công thành công.

Trong thông báo bảo mật chính thức, nhóm phát triển PHP xếp mức độ nghiêm trọng của CVE-2026-109618 và CVE-2026-109619 ở mức CVSS 9,2, đồng thời khuyến nghị cập nhật ngay các môi trường PHP xử lý yêu cầu web. Sau khi bản vá được công bố, các cơ quan an ninh tại châu Âu và Anh khuyến cáo ngắt kết nối khỏi mạng công cộng hoặc tắt các máy chủ chưa thể áp dụng bản vá.

Các phiên bản đã sửa lỗi gồm PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. PHP 8.1 trở xuống đã hết thời hạn hỗ trợ cập nhật bảo mật định kỳ. Tuy vậy, nhóm phát triển PHP đã cung cấp các bản vá ngược mã nguồn có giới hạn cho PHP 8.1, 8.0 và 7.4 đối với những lỗ hổng này. Nhóm cũng lưu ý một số bản phân phối Linux và nhà cung cấp hỗ trợ dài hạn có thể phát hành gói sửa lỗi riêng, nên người dùng cần kiểm tra với các đơn vị đó.

Nhóm nghiên cứu bảo mật Wiz cho biết khai thác lỗi xử lý bộ nhớ trong bộ máy PHP có thể cho phép thực thi mã trên máy chủ mà không cần xác thực hoặc nhắm đến thông tin nhạy cảm trong bộ nhớ tiến trình. Nhóm đã trình diễn khả năng thực thi mã từ xa trong các môi trường WordPress, Drupal và Joomla. Vì lỗi nằm trong bộ máy PHP chứ không phải mã của từng dịch vụ, phạm vi ảnh hưởng không giới hạn ở một hệ quản trị nội dung cụ thể.

Phạm vi tác động có thể rộng. Nhiều nền tảng sử dụng PHP, trong đó có MediaWiki, phần mềm nền tảng của Wikipedia, cùng WordPress và Drupal. Wiz ước tính PHP được sử dụng trên khoảng 70% tổng số website. Đây là số liệu do Wiz tổng hợp, không có nghĩa mọi website đều bị phơi nhiễm theo cùng một cách.

Các lượt tấn công đã được quan sát trước khi bản vá công bố. Amazon (AMZN) Threat Intelligence cho biết đã phát hiện các nỗ lực tấn công PHP2Shell trên hệ thống mồi nhử của mình vào ngày 17 tháng 10. Matthew Prince, CEO của Cloudflare, viết trên X rằng mạng lưới công ty ghi nhận hàng nghìn lượt tấn công trong 10 giờ trước thông báo công khai. Ông nói thêm con số tăng lên hàng trăm nghìn trong hai giờ sau thông báo, rồi đạt hàng triệu lượt.

Đây là số lượt thử tấn công, không phải số vụ xâm nhập thành công. Elizabeth Barron, Tổng thư ký Quỹ PHP, nói với The Verge: “Cho đến nay, chúng tôi chưa xác định được nỗ lực nào thực thi mã từ xa thành công.” Điều đó có nghĩa là dù ghi nhận nhiều lượt tấn công, tình trạng xâm nhập thực tế vẫn cần được đánh giá riêng ở từng dịch vụ.

Khả năng cập nhật các dịch vụ cũ cũng là một trở ngại. The Verge đưa tin hai trò chơi di động tại Nhật Bản sẽ ngừng hoạt động vì không thể cập nhật công nghệ đã lỗi thời. Nhóm phát triển PHP cho biết các biện pháp giảm thiểu tạm thời dành cho hệ thống khó vá không phải giải pháp triệt để; chỉ cập nhật mới có thể xử lý hoàn toàn vấn đề.

Các đơn vị vận hành dịch vụ web xây dựng bằng PHP tại Việt Nam cũng cần kiểm tra hệ thống. Nếu sử dụng dịch vụ của nhà cung cấp hosting, quản trị viên nên hỏi đơn vị này liệu bản cập nhật đã được áp dụng hay chưa.

Wiz cho biết các mô hình AI đã góp phần vào quá trình phát hiện lỗ hổng và phát triển mã khai thác. Tuy nhiên, tài liệu được công bố chưa có căn cứ cho thấy AI tự phát hiện lỗ hổng hoặc tự thực hiện cuộc tấn công. Trước tiên, đơn vị vận hành dịch vụ cần kiểm tra phiên bản PHP đang chạy và xác nhận nhà cung cấp đã áp dụng bản cập nhật bảo mật hay chưa.