Amazon cho biết tin tặc đã bắt đầu dò quét các máy chủ PHP mục tiêu từ 4 ngày trước khi bản vá cho hai lỗ hổng nghiêm trọng được phát hành. Theo SecurityWeek ngày 22/10, diễn biến này đang làm dấy lên lo ngại PHP2Shell có thể phát triển thành một sự cố an ninh mạng quy mô lớn tương tự Log4Shell.

Theo bài viết, hai lỗ hổng được gọi chung là “PHP2Shell” có thể cho phép kẻ tấn công chiếm quyền điều khiển máy chủ từ xa.

PHP Foundation cùng các đối tác trong ngành cho biết họ đã mất vài tuần để phát triển và kiểm chứng bản vá trước khi phát hành vào ngày 21/10. Tuy nhiên, thông tin về lỗ hổng đã bị rò rỉ trên mạng từ ngày 20/10, khiến mã khai thác nhanh chóng xuất hiện và phát tán rộng.

Amazon cho biết lần thử tấn công đầu tiên được ghi nhận vào ngày 17/10, xuất phát từ một mạng ẩn danh, tức thời điểm lỗ hổng vẫn chưa được công bố. Khoảng 12 giờ trước khi thông tin được công khai, công ty tiếp tục phát hiện thêm nhiều đoạn mã tấn công từ các hạ tầng ẩn danh khác. Theo Amazon, điều này cho thấy có nhiều nhóm tin tặc đã tham gia khai thác lỗ hổng.

Amazon nhấn mạnh chỉ vài giờ sau khi bản vá được công bố, thêm nhiều mã tấn công mới đã xuất hiện. Đến nay, PHP2Shell đã bị khai thác trên diện rộng.

Matthew Prince, CEO của Cloudflare, cho biết đã ghi nhận hàng nghìn nỗ lực tấn công trong 10 giờ trước khi lỗ hổng được công bố. Theo ông, chỉ 45 phút sau thời điểm công bố, số lượng này đã tăng lên hàng chục nghìn; sau 2 giờ là hàng trăm nghìn; và hiện đã lên tới hàng triệu. Trong khi đó, công ty bảo mật WatchTowr cho biết phần lớn mã khai thác đang lan truyền hoặc không hoạt động, hoặc chỉ đủ khả năng gây treo máy chủ mục tiêu.

Số lượng máy chủ chưa được vá vẫn ở mức rất lớn. Censys thống kê đến ngày 21/10 có khoảng 1,57 triệu host PHP kết nối Internet chưa được vá. VulnCheck cũng cho biết có ít nhất 1 triệu host đang chạy các phiên bản PHP cũ đã hết hỗ trợ.

Ngày 21/10, Cơ quan An ninh mạng và An ninh hạ tầng Mỹ (CISA) khuyến nghị người dùng cập nhật ngay lên các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 hoặc 8.2.35.

Giới chuyên gia đang so sánh PHP2Shell với Log4Shell, lỗ hổng từng ảnh hưởng nghiêm trọng tới thư viện Log4j. Sai Molige, quản lý tại Forescout, nhận định PHP2Shell có thể phát triển thành một sự cố có quy mô tương tự. Ông lưu ý rằng khi Log4Shell bùng phát, việc xác định chính xác các hệ thống bị ảnh hưởng đã rất khó khăn. Với PHP, ngay cả khi tìm được các máy chủ bị bỏ quên, nhiều trường hợp vẫn đang dùng các phiên bản đã hết hỗ trợ và không thể nhận bản vá chính thức.