Lỗ hổng PHP nguy hiểm bị lợi dụng ngay trước khi có bản vá

Các tin tặc đã tìm cách khai thác các lỗi PHP ảnh hưởng đến các trang web trên khắp internet vài ngày trước khi chúng được vá, theo một báo cáo từ Amazon Threat Intelligence. CJ Moses, Giám đốc thông tin an ninh của Amazon, viết rằng đội ngũ bảo mật của công ty đã phát hiện ra một nỗ lực khai thác PHP2Shell vào ngày 17 tháng 10 thông qua một hệ thống giám sát được thiết kế để dụ dỗ tin tặc, như Wired và Bleeping Computer đã đưa tin trước đó.

Vào thứ Tư, các trang web đã phải vội vã áp dụng bản vá cho hai lỗ hổng bảo mật quan trọng ảnh hưởng đến PHP, một ngôn ngữ lập trình được sử dụng bởi phần lớn internet, bao gồm cả các trang web WordPress. Các lỗ hổng này — CVE-2026-109618 và CVE-2026-109619 — có thể cho phép tin tặc thực thi mã độc từ xa trên các thiết bị bị tổn thương. Elizabeth Barron, giám đốc điều hành của PHP Foundation, nói với The Verge rằng "theo hiểu biết của chúng tôi, không có nỗ lực thực thi mã từ xa nào thành công" nhưng nhấn mạnh rằng việc cập nhật các hệ thống bị ảnh hưởng là "điều bắt buộc."

PHP Foundation ban đầu đã lý thuyết hóa lỗi này vào năm 2024, và trong khi đội ngũ bảo mật của họ đưa ra các giải pháp tiềm năng, việc sửa lỗi đã bị trì hoãn do "các sự cố phá vỡ tính tương thích ngược, khả năng gây từ chối dịch vụ mới, hoặc yêu cầu thay đổi nhiều tiện ích mở rộng của bên thứ ba dường như rất khó phối hợp." Khi PHP Foundation chuẩn bị phát hành bản sửa lỗi vào tuần này, các chi tiết về các lỗi bắt đầu rò rỉ trên các diễn đàn và mạng xã hội, với một số công ty bảo mật phát hành thông tin về chúng trước khi phát hành chính thức.

Nhưng báo cáo từ Amazon Threat Intelligence cho thấy một tác nhân độc hại có thể đã xác định được lỗ hổng trước khi các chi tiết bắt đầu rò rỉ. "Trong khi lỗ hổng đang được giữ bí mật, việc nhắm mục tiêu vào một honeypot từ một địa chỉ IP ẩn danh cho thấy hoạt động này được thực hiện bởi một tác nhân đe dọa, mặc dù vẫn chưa rõ làm thế nào tác nhân này có được thông tin khai thác trước khi tiết lộ," ông Moses viết. Amazon Threat Intelligence đã phát hiện ra một số nỗ lực khai thác khác vào ngày 21 tháng 10 trong những giờ trước khi phát hành bản vá.

"Chúng tôi tự tin rằng một lỗ hổng nghiêm trọng với bản vá gặp khó khăn trong việc đánh đổi giờ đây sẽ đến được với lãnh đạo PHP Foundation sớm hơn nhiều, vì chúng tôi đang thay đổi quy trình để ban lãnh đạo có thể giúp định hướng tình hình đi đến giải pháp kịp thời," PHP Foundation cho biết. "Chúng tôi hiện đang ưu tiên các biện pháp để đảm bảo rằng các lỗ hổng cần các bản sửa lỗi phức tạp tương tự sẽ được giải quyết nhanh hơn khi chúng được báo cáo trong tương lai."