Dream báo cáo chuỗi tấn công PHP2Shell xâm nhập 25 máy chủ

Dream đã báo cáo một chuỗi tấn công PHP2Shell mà theo họ, đã xâm nhập 25 máy chủ, trong đó có các hệ thống thuộc một môi trường liên kết với chính phủ Hoa Kỳ. Cuộc điều tra ngày 26 tháng 10 mô tả cách một giao diện quản lý tường lửa bị phơi lộ trở thành con đường dẫn tới hạ tầng định danh nội bộ.

Tổng số được báo cáo gồm 24 tường lửa biên và một máy chủ quản lý nội bộ. Dream không tiết lộ nhà cung cấp và phiên bản phần mềm bị ảnh hưởng, đồng thời cho biết đã thông báo cho nhà cung cấp.

Chuỗi khai thác vượt qua hai ranh giới bảo mật như thế nào

Chuỗi tấn công kết hợp PHP2Shell, được theo dõi với mã CVE-2026-109618 và CVE-2026-109619, cùng lỗ hổng nâng quyền trên Linux Fragnesia, CVE-2026-46300.

Các lỗ hổng này vượt qua những rào cản khác nhau. Thực thi mã từ xa cho phép kẻ tấn công chạy mã thông qua một dịch vụ có thể truy cập. Sau đó, việc nâng quyền cục bộ có thể biến quyền truy cập hạn chế ban đầu thành khả năng kiểm soát hệ điều hành. Khi kết hợp hai lỗ hổng, bài toán ứng phó sự cố cũng thay đổi: điều tra viên phải xem xét thiết bị bị xâm nhập có thể truy cập những gì bên ngoài giao diện quản lý của chính nó.

Red Hat mô tả Fragnesia là một lỗ hổng trong phân hệ XFRM ESP-in-TCP của nhân Linux. Quá trình xử lý mật mã không an toàn có thể cho phép kẻ tấn công cục bộ với quyền hạn thấp sửa đổi bộ nhớ đệm trang của các tệp chỉ đọc, ghi đè các tệp nhị phân có đặc quyền và giành quyền root. Vì vậy, đây là một cơ chế nâng quyền riêng biệt, chứ không phải điểm xâm nhập ban đầu không cần xác thực.

Dream xác nhận đã trích xuất thông tin xác thực của một tài khoản dịch vụ LDAP và liệt kê thư mục. Họ không thể xác định liệu các hành vi thử hàng loạt mật khẩu, tìm cách tạo tài khoản cửa hậu hay trích xuất khóa ký SAML có thành công hay không. Những giới hạn này rất quan trọng: việc xác nhận truy cập được thông tin thư mục không đồng nghĩa với việc chiếm quyền kiểm soát hoàn toàn Active Directory.

Bằng chứng về AI cho thấy điều gì

Điều tra viên phát hiện Claude Code đã được cài đặt và một nền tảng tấn công được cấu hình với DeepSeek và Kimi. Dream cho biết họ không có bằng chứng trực tiếp cho thấy các công cụ này đã viết mã khai thác hoặc các tập lệnh hậu khai thác, đồng thời không mô tả chiến dịch là hoàn toàn tự chủ. Nhận định của họ về mối liên hệ với Trung Quốc chỉ mang tính thăm dò; họ không nêu tên tác nhân đe dọa nào.

Đối với những người phụ trách phòng thủ, sự phân biệt này giúp tách biệt các công cụ có thể quan sát được với kết luận về tác giả, danh tính người điều hành hoặc mức độ tự chủ. Việc có mặt một trợ lý lập trình có thể củng cố giả thuyết về quy trình làm việc, nhưng tự nó không thể xác định mô hình đã đưa ra những quyết định nào hoặc ai đã chỉ đạo chiến dịch.

Các bản vá PHP và khoảng thời gian khai thác trước đó

Thông báo ngày 21 tháng 10 của dự án PHP xác định PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35 là các bản phát hành bảo mật khắc phục hai lỗ hổng thực thi mã từ xa nghiêm trọng. Một lỗ hổng liên quan đến việc xử lý tình trạng hết bộ nhớ khiến dữ liệu yêu cầu nội bộ chỉ được khởi tạo một phần; lỗ hổng còn lại liên quan đến trạng thái nội bộ cũ vẫn tồn tại sau khi vùng bộ nhớ làm nền cho trạng thái đó đã được giải phóng.

Dự án cảnh báo rằng các hệ thống PHP phục vụ yêu cầu web đều có nguy cơ, trong đó cấu hình mod_php của Apache được đánh giá là có nguy cơ cao nhất. Dự án cho biết các biện pháp giảm thiểu một phần không bảo vệ hoàn toàn và khuyến nghị người dùng cập nhật. Với các thiết bị tích hợp sẵn phần mềm, cách khắc phục trên thực tế tùy thuộc vào phần sụn được nhà cung cấp hỗ trợ và các bản sửa lỗi được chuyển ngược, chứ không thể chỉ dựa vào chuỗi phiên bản trong môi trường chạy.

Trước đây, Unite.AI đã đưa tin về các bản vá PHP và vai trò của AI tiên phong trong việc phát hiện các lỗ hổng. Báo cáo mới này chuyển sự chú ý từ việc phát hiện sang hậu quả của một hệ thống triển khai bị phơi lộ.

Riêng Amazon Threat Intelligence đã báo cáo các nỗ lực khai thác PHP2Shell trong mạng bẫy MadPot, bắt đầu từ ngày 17 tháng 10, trước khi lỗ hổng được công bố rộng rãi. Dữ liệu đo từ xa này không chứng minh rằng cùng một đối tượng điều hành đã thực hiện chiến dịch mà Dream mô tả.

AWS khuyến nghị đo thời gian giảm thiểu các lỗ hổng nghiêm trọng trên hệ thống hướng ra Internet bằng giờ, điều tra từ thời điểm khai thác sớm nhất đã biết thay vì ngày công bố, và phát triển các cơ chế phát hiện không chỉ dựa vào dấu hiệu đặc thù của từng CVE. Với PHP2Shell, AWS khuyến nghị rà soát ngược ít nhất đến ngày 17 tháng 10.

Công nghệ của Dream phù hợp ở đâu

Trên trang web của công ty, Dream giới thiệu Hero là một hệ thống nghiên cứu an ninh mạng tự chủ, hỗ trợ điều tra lỗ hổng, dịch ngược phần mềm độc hại, phân tích pháp chứng và xác thực bản sửa lỗi. Nền tảng Sphere bổ trợ tập trung vào việc lập bản đồ mức độ phơi lộ và ưu tiên phòng thủ trong các môi trường chính phủ và hạ tầng trọng yếu.

Điểm khác biệt về kỹ thuật nằm ở chỗ điều tra một điểm yếu cụ thể khác với việc hiểu rõ điểm yếu đó có ý nghĩa thế nào trong toàn bộ mạng lưới vận hành. Một thiết bị biên, máy chủ quản lý của thiết bị đó và thư mục định danh có thể thuộc về các đơn vị khác nhau và có chu kỳ cập nhật bản vá khác nhau, nhưng kẻ tấn công vẫn có thể kết nối chúng thành một lộ trình duy nhất. Để khoanh vùng sự cố hiệu quả, cần xem xét lộ trình đó đồng thời với việc cài đặt các bản cập nhật liên quan.