Hacker dùng PHP2Shell bẻ khóa máy chủ PHP chứa 2.000 USD bitcoin làm mồi trong 19 giờ

Một máy chủ chạy bản PHP chưa được vá, được để trực tuyến cùng khóa ví bitcoin bên trong làm mồi nhử, đã trụ chưa đầy một ngày. Một nhà nghiên cứu dùng bí danh KillaBoi đã đột nhập qua PHP2Shell, cặp lỗ hổng nghiêm trọng trong ngôn ngữ vận hành phần lớn web, rồi lấy được khóa. Cũng trong cuối tuần đó, một honeypot do người đứng đầu bộ phận an ninh tại Perplexity vận hành ghi nhận kẻ tấn công làm điều tương tự trên một máy chủ thật, qua đó bác bỏ giả thuyết dễ chịu rằng những lỗi này quá khó khai thác để có ai sử dụng.

Điều đó ảnh hưởng đến tất cả những ai vận hành website, cũng như bất kỳ ai có dữ liệu nằm trên đó. PHP là nền tảng của WordPress, Drupal, Joomla và phần lớn dịch vụ lưu trữ web dùng chung; các lỗ hổng này có thể cho phép người không có tài khoản chạy lệnh trên máy chủ. Kể từ khi bản vá được phát hành, lập luận chính để trì hoãn cập nhật là những nỗ lực tấn công công khai liên tục thất bại. Cả hai kết quả mới đều bác bỏ lập luận ấy.

Thử thách mang tên Steal My Bitcoin được đăng trên một website riêng và công bố trong một bài viết trên diễn đàn. Người tạo thử thách, đăng bài với tên cloudlandsdev, viết: “Tôi làm việc này vì tò mò không biết có ai ngoài kia tìm ra cách thực sự khai thác PHP RCE này chưa; mấy ngày qua chúng tôi đã hoảng loạn. Cứ vui vẻ nhé!” Phần thưởng ban đầu vào khoảng 502 USD, sau đó tăng lên 0.02511679 BTC nhờ các khoản quyên góp, trị giá 2.021,22 USD vào thời điểm có người nhận được, khoảng 19 giờ sau khi thử thách bắt đầu, theo Tom’s Hardware. Máy chủ quá tải vì lượng truy cập từ những người tham gia thử sức, còn dung lượng lưu trữ hạn chế khiến máy không thể lưu toàn bộ nhật ký.

Sau đó, KillaBoi công bố bản chứng minh khái niệm trên GitHub. Mark Maunder, nhà sáng lập công ty bảo mật WordPress Wordfence, gọi bài phân tích này là “lời giải thích tuyệt vời nhất mà bạn có thể đọc về mức độ khó khai thác #php2shell”, đồng thời chỉ ra lượng thao tác chính xác mà cuộc tấn công đòi hỏi. Hóa ra, khó không có nghĩa là chậm.

Kết quả đáng lo ngại hơn đến từ bên ngoài thử thách. Adel Karimi, người phụ trách phát hiện và ứng phó tại Perplexity, cho biết các honeypot của ông đã bắt được một vụ thực thi mã từ xa được xác nhận trên máy chủ Apache chạy PHP 8.4.26. “Đây là vụ RCE đã được xác nhận, có khả năng đọc lộ bộ nhớ và sử dụng được, chứ không chỉ là sự cố sập máy rồi xuất hiện một tiến trình đáng ngờ,” ông viết, theo BleepingComputer đưa tin. Nhà nghiên cứu mối đe dọa Marcus Hutchins của Expel, người theo dõi các tuyên bố về những vụ tấn công thành công, gọi đây là “bằng chứng xác nhận có chất lượng cao nhất từ trước đến nay mà tôi thấy về việc khai thác php2shell ngoài thực tế”. Trước đó, Cloudflare, watchTowr, Patchstack cùng các công ty bảo mật khác chỉ ghi nhận những nỗ lực thất bại; nhóm tình báo mối đe dọa của Amazon thì phát hiện hoạt động quét bắt đầu từ bốn ngày trước khi các bản vá được phát hành.

Không kết quả nào trong số này đồng nghĩa mọi máy chủ chưa được vá sẽ gặp sự cố vào ngày mai. Khóa KillaBoi lấy được không khớp với địa chỉ ví mà website công bố; người tổ chức cho biết đây là lỗi thiết lập và nói tiền sẽ được chuyển đi, theo Cointelegraph, còn trang bảo mật Cyberpress lưu ý rằng bằng chứng công khai chỉ cho thấy khóa đã bị lấy ra, chứ không phải giải thưởng đã bị đánh cắp. Bản khai thác được công bố cũng chỉ được tinh chỉnh cho một bản dựng PHP cụ thể và không hoạt động trên các bản dựng khác của cùng phiên bản, vì vậy đây không phải công cụ chỉ cần bấm nút là chạy. Điều không còn đứng vững là lập luận rằng chưa ai khai thác thành công.

Mức độ phơi nhiễm mang tính toàn cầu. Các cơ quan chính phủ ở Hà Lan, Australia, Nhật Bản và Phần Lan đã đưa những website quan trọng ngoại tuyến trong lúc chờ chuẩn bị bản vá, Cointelegraph đưa tin. Thống kê của Shodan do công ty bảo mật Mallory thực hiện cho thấy có khoảng 884.000 máy chủ kết nối Internet công khai đang hiển thị phiên bản PHP không còn được hỗ trợ chính thức, chiếm 59% trong khoảng 1,5 triệu máy chủ để lộ thông tin phiên bản, theo Notebookcheck. Đây là số liệu dựa trên thông tin phiên bản hiển thị, không phải số nạn nhân đã được xác nhận, bởi các bản phân phối Linux thường vá những gói cũ mà không đổi số phiên bản.

Đối với chủ website, cách khắc phục vẫn không thay đổi. Các bản PHP đã được vá gồm 8.5.12, 8.4.27, 8.3.36 và 8.2.35, phát hành ngày 21 tháng 10 để xử lý CVE-2026-109618 và CVE-2026-109619; cả hai đều được chấm 9,2/10. Với dịch vụ lưu trữ dùng chung, việc cập nhật do nhà cung cấp thực hiện, chứ không phải thông qua bản cập nhật WordPress hay plugin. Vì vậy, câu hỏi hữu ích cần đặt ra với nhà cung cấp là website của bạn đang chạy bản dựng PHP nào và bản đó được vá khi nào. Cơ quan An ninh mạng và Cơ sở hạ tầng Mỹ (CISA) đã yêu cầu các tổ chức không thể cập nhật, hoặc vẫn chạy PHP 8.1 trở xuống, đưa những hệ thống đó ngoại tuyến cho đến khi có thể cập nhật.

Vấn đề tiếp theo đã xuất hiện. Hôm thứ Sáu, nhóm PHP công bố biện pháp khắc phục tạm thời cho lỗ hổng thực thi mã từ xa thứ ba, CVE-2026-115560; lỗi này hiện chưa có bản vá và chỉ ảnh hưởng đến các hệ thống “có sự kết hợp bất thường giữa cấu hình và mã ứng dụng”. Cho đến khi bản sửa lỗi được phát hành, các nhà phát triển PHP khuyến nghị tắt thiết lập session.upload_progress, cũng là bước họ từng đề xuất trước khi có các bản vá PHP2Shell. Hỗ trợ bảo mật cho PHP 8.2 sẽ kết thúc vào ngày 31 tháng 12 năm 2026, còn những máy chủ chưa bao giờ rời PHP 8.1 thì đã quá hạn hỗ trợ.

Thẻ: an ninh mạng, bitcoin, Perplexity, PHP, PHP2Shell, WordPress