Cuộc tranh giành điên cuồng của Internet hôm thứ Tư nhằm vá một cặp lỗ hổng nghiêm trọng trong PHP, một ngôn ngữ lập trình web được sử dụng rộng rãi, đã quá muộn để ngăn chặn mọi cuộc tấn công, các chi tiết mới được công bố tiết lộ.

Việc phát hành các bản sửa lỗi cho hai lỗ hổng nghiêm trọng trong PHP hôm thứ Tư đã khiến các quản trị viên và nhân viên bảo mật phải chạy đua để xác định và vá các trang web và ứng dụng dễ bị tấn công, trong khi những kẻ tấn công chắc chắn đã thiết kế ngược các bản sửa lỗi để tìm hiểu cách khai thác lỗ hổng. Một số chính phủ và các nhóm khác thậm chí còn chủ động gỡ bỏ các trang web quan trọng trước khi phát hành, để chúng không bị nhắm mục tiêu trước khi có thể áp dụng các bản vá.

Nhưng ngoài việc phát hiện hoạt động khai thác tích cực như vậy vào thứ Tư, nghiên cứu được Amazon Web Services công bố vào tối thứ Tư chỉ ra rằng ít nhất một tác nhân đã bắt đầu cố gắng khai thác các lỗi – được gọi chung là PHP2Shell – vào ngày 17 tháng 10, bốn ngày trước tiết lộ công khai hôm thứ Tư.

Các nhà phân tích của AWS đã phát hiện hành vi khai thác ngày 17 tháng 10 vào thứ Tư khi đang xem lại hoạt động trên một trong những cái gọi là honeypot của họ, hoặc các máy chủ web dễ bị tấn công có chủ ý hoặc các mồi nhử kỹ thuật số khác giúp các nhà nghiên cứu nghiên cứu các phương pháp và xu hướng tấn công. Nỗ lực này xuất phát từ một địa chỉ IP mà AWS cho biết được liên kết với “mạng ẩn danh thương mại”, nói cách khác là mạng proxy hoặc VPN.

CJ Moses, giám đốc an ninh thông tin của AWS, đã viết trong bài nghiên cứu: “Mặc dù lỗ hổng này đang bị cấm vận, nhưng việc nhắm mục tiêu vào honeypot từ một địa chỉ IP ẩn danh cho thấy hoạt động này được thực hiện bởi một kẻ đe dọa, mặc dù vẫn chưa rõ bằng cách nào mà kẻ tấn công có được thông tin khai thác trước khi tiết lộ”.

Khai thác bằng chứng khái niệm cho PHP2Shell bắt đầu xuất hiện công khai vào thứ Tư, với một số dường như xuất hiện vài giờ trước khi tiết lộ công khai lúc 10 giờ sáng theo giờ ET. Trong vài giờ trước khi tiết lộ, các nhà nghiên cứu của AWS cho biết các honeypot của họ đã bị tấn công bởi nhiều nỗ lực khai thác ẩn danh bằng cách sử dụng nhiều nhà cung cấp khác nhau và dường như có nhiều mục tiêu tấn công khác nhau, có khả năng chỉ ra nhiều tác nhân khác nhau. Moses viết: “Phân tích kỹ thuật đang được tiến hành và không rõ liệu bất kỳ nỗ lực nào trong số này có thành công trong các hệ thống trong thế giới thực hay không”. Ông nói thêm rằng “PHP2Shell hiện đang được khai thác rộng rãi trong tự nhiên”.