Theo báo cáo từ Amazon Threat Intelligence, tin tặc đã cố gắng khai thác các lỗ hổng PHP ảnh hưởng đến các trang web trên web nhiều ngày trước khi chúng được vá. CJ Moses, giám đốc an ninh thông tin của Amazon, viết rằng nhóm bảo mật của công ty đã phát hiện nỗ lực khai thác PHP2Shell vào ngày 17 tháng 10 thông qua một hệ thống giám sát được thiết kế để dụ tin tặc, như đã báo cáo trước đó bởi Wired và Bleeping Computer.

Lỗ hổng nghiêm trọng của PHP đã bị khai thác vài ngày trước khi có bản vá

Tổ chức PHP cho biết thông tin chi tiết về các lỗi đã bị rò rỉ trước khi tổ chức này có thể phát hành bản vá.

Vào thứ Tư, các trang web đã tranh nhau áp dụng bản vá cho hai lỗ hổng bảo mật nghiêm trọng ảnh hưởng đến PHP, một ngôn ngữ lập trình được phần lớn internet sử dụng, bao gồm cả các trang WordPress. Các lỗ hổng – CVE-2026-109618 và CVE-2026-109619 – có thể cho phép tin tặc thực thi mã độc từ xa trên các thiết bị dễ bị tấn công. Elizabeth Barron, giám đốc điều hành của PHP Foundation, nói với The Verge rằng “theo hiểu biết của chúng tôi, chưa có nỗ lực thực thi mã từ xa thành công nào” nhưng nhấn mạnh rằng việc cập nhật các hệ thống bị ảnh hưởng là “bắt buộc”.

Tổ chức PHP ban đầu đưa ra giả thuyết về lỗi này vào năm 2024 và trong khi nhóm bảo mật của họ đưa ra các giải pháp tiềm năng thì việc khắc phục đã bị trì hoãn do “sự cố tương thích ngược, khả năng từ chối dịch vụ mới hoặc yêu cầu thay đổi đối với nhiều tiện ích mở rộng của bên thứ ba mà dường như không thể phối hợp được”. Khi Tổ chức PHP chuẩn bị đưa ra bản sửa lỗi trong tuần này, thông tin chi tiết về các lỗi bắt đầu xuất hiện trên các diễn đàn và mạng xã hội, trong đó một số công ty bảo mật đã tiết lộ thông tin về chúng trước khi phát hành chính thức.

Nhưng báo cáo từ Amazon Threat Intelligence cho thấy kẻ xấu có thể đã xác định được lỗ hổng trước khi thông tin chi tiết bắt đầu bị rò rỉ. Moses viết: “Mặc dù lỗ hổng này đang bị cấm vận, nhưng việc nhắm mục tiêu vào honeypot từ một địa chỉ IP ẩn danh cho thấy hoạt động này được thực hiện bởi một kẻ đe dọa, mặc dù vẫn chưa rõ bằng cách nào kẻ đó có được thông tin khai thác trước khi tiết lộ”. Amazon Threat Intelligence đã phát hiện ra một số nỗ lực khai thác khác vào ngày 21 tháng 10 vài giờ trước khi bản vá được phát hành.

“Chúng tôi tin tưởng rằng lỗ hổng bảo mật nghiêm trọng với bản sửa lỗi bị mắc kẹt trong những sự đánh đổi khó khăn giờ đây sẽ đến tay lãnh đạo của PHP Foundation sớm hơn nhiều, vì chúng tôi đang thay đổi các quy trình để lãnh đạo có thể giúp đưa tình hình đến một giải pháp kịp thời,” PHP Foundation cho biết. “Chúng tôi hiện đang ưu tiên các biện pháp để đảm bảo các lỗ hổng cần sửa chữa phức tạp tương tự sẽ được giải quyết nhanh hơn khi chúng được báo cáo trong tương lai.”