PHP phát hành các bản vá bảo mật sau khi các lỗ hổng PHP2Shell làm phát sinh hàng triệu nỗ lực khai thác

PHP phát hành các bản vá bảo mật vào ngày 21 tháng 10 cho hai lỗ hổng nghiêm trọng có biệt danh PHP2Shell, cho phép chiếm quyền máy chủ trái phép, khiến các chính phủ và tổ chức phải đưa trang web ngoại tuyến. Các lỗ hổng ảnh hưởng đến PHP phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35. PHP hiện được sử dụng trên khoảng 70% số trang web có ngôn ngữ phía máy chủ đã biết. CEO Cloudflare Matthew Prince cho biết có hàng triệu lần thử khai thác sau khi thông tin được công bố công khai, trong khi BSI của Đức và chính phủ Nhật Bản cho biết họ chưa xác nhận vụ xâm nhập thành công nào. PHP Foundation tiết lộ rằng họ đã nhận thấy những dấu hiệu đầu tiên của một vấn đề vào năm 2024 nhưng trì hoãn việc khắc phục do khó khăn trong quá trình ra quyết định và nguồn lực hạn chế.

PHP phát hành bản vá cho các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35

Theo ghi chú phát hành, PHP phát hành các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35 vào thứ Tư. Tổ chức này tuyên bố: “Không có biện pháp giảm thiểu hoàn chỉnh nào; cập nhật là lựa chọn an toàn duy nhất.” Tính đến thứ Năm, PHP chưa phát hành bản vá tiếp theo. PHP 8.1 và các phiên bản cũ hơn không còn nhận được bản phát hành chính thức, dù đội ngũ bảo mật của PHP đã đăng các bản vá cho phiên bản 7.4, 8.0 và 8.1 dành cho người dùng tự biên dịch phần mềm. Các công ty lưu trữ, bộ phận CNTT và chủ sở hữu trang web cần cài đặt bản vá thủ công, sau đó khởi động lại phần mềm để các bản sửa lỗi có hiệu lực.

Cloudflare ghi nhận hàng triệu lần thử khai thác

CEO Cloudflare Matthew Prince cho biết mạng lưới của công ty phát hiện hàng nghìn lần thử khai thác trong 10 giờ trước khi thông báo được công bố rộng rãi. Số lần thử tăng lên hàng chục nghìn trong 45 phút sau khi lỗ hổng được tiết lộ, lên hàng trăm nghìn trong vòng hai giờ và sau đó là hàng triệu. Amazon cho biết các máy chủ mồi của họ ghi nhận một lần thử khai thác vào ngày 17 tháng 10, bốn ngày trước khi các lỗ hổng được công khai. CISO của Amazon CJ Moses viết: “Hiện vẫn chưa rõ tác nhân đã có được thông tin khai thác trước khi công bố bằng cách nào”, đồng thời nói thêm rằng PHP2Shell “hiện đang bị khai thác rộng rãi ngoài thực tế”.

Đức và Nhật Bản báo cáo chưa có vụ xâm nhập nào được xác nhận

Thomas Caspers, phó chủ tịch cơ quan an ninh mạng liên bang Đức BSI, cho biết cơ quan này ghi nhận các cuộc tấn công nhưng chưa ghi nhận trường hợp nào khai thác lỗ hổng thành công, đồng thời nhận định: “Có vẻ việc khai thác phức tạp hơn một chút so với dự kiến.” Chánh Văn phòng Nội các Nhật Bản Minoru Kihara cũng xác nhận chưa có cuộc tấn công nào khai thác các lỗ hổng được xác minh.

PHP Foundation xác định các sai sót trong quy trình bảo mật năm 2024

PHP Foundation đăng bài blog vào thứ Tư, cho biết công tác bảo mật của họ trong năm 2024 “đã phát hiện những dấu hiệu đầu tiên của sự cố hết bộ nhớ (OOM) liên quan đến CVE-2026-109618”, đề cập đến lỗi hết bộ nhớ làm cơ sở cho một trong các lỗ hổng. Theo PHP Foundation, nhóm đã phát triển “một số phương án khác nhau” để giải quyết vấn đề nhưng “gặp khó khăn khi lựa chọn giữa các phương án và lo ngại hậu quả nếu đưa ra lựa chọn sai”. PHP Foundation viết: “Chúng tôi sẽ không giả vờ rằng điều đó không xảy ra: sự chậm trễ là một thất bại mang tính cơ cấu, bắt nguồn từ cả quy trình ra quyết định của đội ngũ bảo mật lẫn tình trạng thiếu nguồn lực.” Đội ngũ bảo mật trước đây yêu cầu sự đồng thuận, nay sẽ quyết định bằng cách bỏ phiếu theo đa số.

Các tổ chức đưa trang web ngoại tuyến sau khi thông tin được công bố

Trung tâm An ninh mạng Quốc gia của Anh khuyến nghị các tổ chức cân nhắc “đưa hệ thống ngoại tuyến cho đến khi có thể giảm thiểu hoàn toàn rủi ro”. Theo TechRadar, các trang web được đưa ngoại tuyến vào thứ Tư bao gồm các dịch vụ Wikimedia, trang web và ứng dụng Orange tại hàng chục quốc gia, 32 dịch vụ của chính phủ Anh, các bệnh viện Hà Lan và nhà cung cấp CNTT liên bang của Đức ITZBund. Văn phòng Trách nhiệm Ngân sách của Anh và trang web hội đồng thành phố Edinburgh hoạt động trở lại vào thứ Năm. Theo DutchNews, trang Meld Misdaad Anoniem của Hà Lan, chuyên tiếp nhận tin báo tội phạm ẩn danh, vẫn ngoại tuyến vào sáng thứ Năm.

Các công ty bảo mật khuyến nghị kiểm tra máy chủ và luân chuyển thông tin xác thực

Công ty bảo mật Tag1 khuyến nghị quản trị viên kiểm tra các tệp PHP được tải lên bởi người dùng không được cấp quyền, rà soát các tác vụ mới được lên lịch và tài khoản mới, đồng thời luân chuyển mật khẩu cơ sở dữ liệu và khóa API trên các máy chủ kết nối internet đang chạy phiên bản dễ bị tấn công. Công ty bảo mật Mallory thống kê khoảng 884.000 máy chủ có thể truy cập từ internet đang chạy các phiên bản PHP không còn nhận được bản sửa lỗi chính thức. Amazon khuyến nghị những người bảo vệ hệ thống: “Không nên cho rằng ngày thông tin được công bố công khai là thời điểm khai thác sớm nhất”, đồng thời đề nghị kiểm tra mọi máy chủ chạy phiên bản dễ bị tấn công ít nhất từ ngày 17 tháng 10.

Câu hỏi thường gặp

Những phiên bản PHP nào nhận được bản vá bảo mật vào ngày 21 tháng 10?
PHP phát hành các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35 vào thứ Tư để xử lý các lỗ hổng PHP2Shell. PHP cho biết cập nhật là lựa chọn an toàn duy nhất vì không có biện pháp giảm thiểu hoàn chỉnh nào.

Cloudflare phát hiện bao nhiêu lần thử khai thác sau khi PHP2Shell được công bố?
CEO Cloudflare Matthew Prince cho biết có hàng nghìn lần thử trong 10 giờ trước thông báo, hàng chục nghìn lần trong 45 phút sau khi công bố, hàng trăm nghìn lần trong vòng hai giờ và sau đó là hàng triệu lần.

Những tổ chức nào đã đưa trang web ngoại tuyến sau khi lỗ hổng PHP được công bố?
Theo TechRadar, các tổ chức đưa trang web ngoại tuyến vào thứ Tư bao gồm các dịch vụ Wikimedia, trang web Orange tại hàng chục quốc gia, 32 dịch vụ của chính phủ Anh, các bệnh viện Hà Lan và nhà cung cấp CNTT liên bang của Đức ITZBund.