Hình ảnh giúp hiểu rõ bài viết
Kích hoạt cơ chế ứng phó khẩn cấp
Chính phủ Hàn Quốc ngày 22 nâng cảnh báo khủng hoảng an ninh mạng trong khu vực tư nhân từ mức “quan tâm” lên “chú ý”, trong bối cảnh các hoạt động khai thác nhóm lỗ hổng được gọi là “PHP2Shell” tiếp tục được ghi nhận.
Bộ Khoa học, Công nghệ Thông tin và Truyền thông Hàn Quốc cùng Cơ quan An ninh Internet Hàn Quốc (KISA) áp dụng mức cảnh báo mới từ 12 giờ cùng ngày, đồng thời kích hoạt cơ chế ứng phó khẩn cấp. Hướng dẫn xử lý được gửi tới khoảng 28.000 doanh nghiệp đã đăng ký lãnh đạo phụ trách bảo mật thông tin và khoảng 5.900 thành viên của hệ thống chia sẻ thông tin đe dọa mạng.
PHP2Shell gồm hai lỗ hổng bắt nguồn từ lỗi quản lý bộ nhớ của PHP, mang mã định danh CVE-2026-109618 và CVE-2026-109619. Các lỗ hổng có thể cho phép kẻ tấn công thực thi mã độc trên máy chủ mà không cần xác thực, với mức độ nguy hiểm 9,2 trên thang 10 điểm.
Hàng trăm nghìn yêu cầu khai thác được ghi nhận
Nhóm tình báo mối đe dọa của Amazon cho biết đã phát hiện nỗ lực khai thác từ ngày 17, sớm hơn bốn ngày so với thời điểm nhóm phát triển PHP phát hành bản vá vào ngày 21.
Trong 24 giờ đầu sau khi thông tin được công bố, hãng bảo mật Imperva ghi nhận 482.342 yêu cầu liên quan và 122.311 phiên tấn công trong các môi trường do hãng bảo vệ. Hoạt động này nhắm tới 21.998 website tại 103 quốc gia, song các số liệu không đồng nghĩa toàn bộ cuộc tấn công đã thành công.
Palo Alto Networks ước tính khoảng 22 triệu phiên bản PHP đang lộ diện trên Internet trên toàn cầu, nhưng lưu ý không phải tất cả đều tồn tại lỗ hổng.
Doanh nghiệp bảo mật cung cấp công cụ kiểm tra miễn phí
Nhiều công ty an ninh mạng Hàn Quốc đã công bố công cụ và hướng dẫn hỗ trợ tổ chức kiểm tra hệ thống. Theori tái hiện mã tấn công, phát hành hướng dẫn ứng phó và tập lệnh kiểm tra cấu hình, đồng thời nhấn mạnh các biện pháp tạm thời không thể ngăn chặn hoàn toàn nguy cơ và có thể ảnh hưởng một số chức năng. Do đó, quản trị viên vẫn cần cài đặt bản vá chính thức.
NK WhiteHat phát hành công cụ quét miễn phí để kiểm tra phiên bản và cấu hình PHP. Piolink mở trang kiểm tra cho phép nhập địa chỉ website để xác định phiên bản PHP và nhu cầu vá lỗi; trường hợp máy chủ che giấu thông tin phiên bản sẽ được đánh dấu “không thể xác định” và yêu cầu người vận hành tự kiểm tra. Stealien cũng cung cấp dịch vụ kiểm tra trực tuyến miễn phí, trong khi AhnLab công bố phương pháp phát hiện lệnh bất thường, webshell và thay đổi tập tin.
Các công cụ kiểm tra từ bên ngoài vẫn có giới hạn. Nếu máy chủ ẩn phiên bản PHP, hệ thống khó xác định chính xác tình trạng lỗ hổng. Kết quả kiểm tra bình thường cũng không phản ánh đầy đủ cấu hình nội bộ hoặc khả năng máy chủ từng bị xâm nhập.
Cần khởi động lại dịch vụ và rà soát dấu vết xâm nhập
KISA khuyến cáo nâng PHP lên phiên bản bảo mật mới nhất rồi khởi động lại dịch vụ web, bởi chương trình cũ còn lưu trong bộ nhớ sau khi cập nhật vẫn có thể duy trì trạng thái dễ bị tấn công. Cơ quan này đề nghị kiểm tra nhật ký truy cập ít nhất từ ngày 20/10, và rà soát cả dữ liệu trước đó nếu có thể.
Sau khi vá lỗi, quản trị viên cần kiểm tra khả năng webshell đã được cài đặt, đồng thời thay đổi các thông tin xác thực quan trọng như mật khẩu cơ sở dữ liệu và token xác thực.
Ủy ban Bảo vệ Thông tin Cá nhân Hàn Quốc đặc biệt lưu ý các công cụ quản trị cơ sở dữ liệu dựa trên PHP như phpMyAdmin nếu bị mở ra Internet hoặc được cấp quyền quá rộng. Cơ quan này yêu cầu hạn chế truy cập từ bên ngoài và rà soát những dấu hiệu bất thường như truy vấn hoặc xuất dữ liệu cá nhân với số lượng lớn, do sự cố có thể lan từ website sang cơ sở dữ liệu và gây rò rỉ thông tin của nhiều người dùng.
Tại phiên kiểm toán quốc hội ngày 23, nghị sĩ Han Jun-ho cho rằng dù cảnh báo khẩn cấp đã được ban hành, KISA vẫn chưa nắm đầy đủ số hệ thống dễ bị tổn thương tại các cơ quan công và tình trạng hoàn tất cập nhật. Lãnh đạo KISA giải thích trách nhiệm vận hành được phân chia theo từng cơ quan, tạo ra hạn chế về mặt thể chế khi cơ quan này muốn trực tiếp kiểm tra từng hệ thống.
Nhận xét
Đăng nhận xét