N環球 
"PHP2Shell": PHP cung cấp các bản vá khẩn cấp cho hai lỗ hổng CVSS-9.2 nghiêm trọng cho phép thực thi mã từ xa không được xác thực
PHP đã phát hành bản cập nhật khẩn cấp vào ngày 21 tháng 10, sửa hai lỗ hổng nghiêm trọng được gọi chung là PHP2Shell (CVE-2026-109618, CVE-2026-109619), được tìm thấy bởi các nhà nghiên cứu tại Wiz, Calif và OpenAI. Thông tin chi tiết bị rò rỉ trước khi tiết lộ phối hợp và Cloudflare đã quan sát các cuộc tấn công thực sự trước khi bản vá được xuất xưởng. Mọi cài đặt PHP phục vụ các yêu cầu web đều bị ảnh hưởng.
Tại sao nó quan trọng
Đây là một trong những lỗ hổng web nghiêm trọng nhất trong nhiều năm. PHP chiếm phần lớn các trang web trên thế giới (WordPress, Drupal, Joomla) và lần này lỗ hổng nằm ở chính công cụ ngôn ngữ — ngay cả một trang web được viết hoàn hảo cũng không được bảo vệ. Kẻ tấn công không cần tài khoản; một yêu cầu duy nhất có thể mang lại khả năng thực thi mã trên máy chủ.
Đây cũng là minh họa rõ nét nhất về vai trò kép của AI trong nghiên cứu bảo mật: Wiz nói rằng các lỗ hổng đã ẩn giấu trong nhiều thập kỷ và việc chứng minh khả năng khai thác đòi hỏi một chuỗi 'ở rìa những gì các nhà nghiên cứu con người có thể đạt được trên thực tế.' Các mô hình Frontier AI đã giảm đáng kể rào cản đó, biến một lỗ hổng lâu đời thành một cách khai thác hiệu quả.
Báo cáo đầy đủ
Nhóm bảo mật của PHP đã phát hành các bản cập nhật khẩn cấp vào ngày 21 tháng 10 để sửa lỗi CVE-2026-109618 và CVE-2026-109619, cả hai đều xếp hạng CVSS v4.0 9.2 và được đặt tên chung là PHP2Shell. Cả hai đều xuất phát từ trạng thái bộ nhớ bị hỏng khi yêu cầu kết thúc bất thường và cả hai đều có thể bị kẻ tấn công không xác thực khai thác để thực thi mã từ xa.
Mọi cài đặt PHP phục vụ các yêu cầu web đều bị ảnh hưởng, bao gồm PHP-FPM, Apache mod_php, php-cgi, FrankenPHP và LiteSpeed. Nhóm cho biết rủi ro là cao nhất đối với mod_php, trong đó việc khai thác đã được chứng minh sẽ kích hoạt trước khi bất kỳ mã ứng dụng nào chạy. Một lỗ hổng thậm chí có thể cho phép kẻ tấn công đọc bộ nhớ của nhân viên chứa mật khẩu, mã thông báo và khóa API của các yêu cầu khác.
Các lỗ hổng được tìm thấy bởi các nhà nghiên cứu tại Wiz, Calif, OpenAI (một đối tác trong chương trình Patch the Planet) và Quarkslab. Các chi tiết kỹ thuật bị rò rỉ vào ngày 20 tháng 10 trước thời điểm tiết lộ phối hợp theo kế hoạch, khiến PHP phải phát hành sớm một ngày. Cloudflare cho biết họ đã quan sát thấy lưu lượng tấn công nhằm vào khách hàng của mình trước khi bản vá được tung ra và kích hoạt các quy tắc WAF vào ngày 21 tháng 10. Một số trang web của Hà Lan và Nhật Bản (bao gồm cả dịch vụ DigiD của Hà Lan và trang web của Hạ viện) đã ngoại tuyến để đề phòng.
Quản trị viên được khuyến khích cập nhật lên PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35 ngay lập tức; PHP 7 trở về trước không còn nhận được bản cập nhật chính thức.
💬 Comments
No comments yet. Be the first!