Tin công nghệ

Lỗ hổng PHP2Shell lan sang tường lửa Palo Alto: doanh nghiệp dùng PAN-OS cần khóa cổng quản trị ngay

Posted on by superadmin

Hai lỗ hổng nghiêm trọng của PHP được vá ngày 21/10/2026 (CVE-2026-109618 và CVE-2026-109619, giới bảo mật gọi chung là PHP2Shell) không chỉ ảnh hưởng tới website. Ngày 24/10/2026, Palo Alto Networks xác nhận nhiều thiết bị tường lửa chạy PAN-OS và hệ thống quản lý tập trung Panorama cũng nằm trong diện bị ảnh hưởng, vì giao diện quản trị web của các thiết bị này dùng PHP. Đây là lời nhắc rằng một lỗi ở thành phần phần mềm phổ biến có thể lan sang cả thiết bị mạng mà nhiều doanh nghiệp coi là “lá chắn” an toàn nhất.

Chuyện gì đã xảy ra?

Hai lỗi PHP liên quan đến cách PHP xử lý bộ nhớ khi một yêu cầu bị ngắt giữa chừng. Lỗi thứ nhất xảy ra khi hệ thống hết bộ nhớ trong lúc xử lý yêu cầu, để lại vùng nhớ chưa được khởi tạo; lỗi thứ hai khiến các tham chiếu bộ nhớ vẫn trỏ vào vùng đã giải phóng. Kẻ tấn công có thể lợi dụng để thực thi mã từ xa mà không cần đăng nhập. Điểm CVSS 4.0 của lỗi gốc là 9,2.

Trên sản phẩm của Palo Alto, hãng đánh giá mức ảnh hưởng là 8,7 (cao), chủ yếu tác động tới tính sẵn sàng của thiết bị. Theo thông báo cập nhật ngày 24/10, hãng chưa ghi nhận khai thác thực tế nhắm vào sản phẩm của mình, nhưng nhóm Unit 42 đã thấy mã khai thác thử nghiệm (PoC) cho lỗ hổng PHP gốc. Trước đó, các nhà nghiên cứu của AWS cũng ghi nhận nhiều lượt dò quét nhắm vào lỗi này trên hệ thống bẫy (honeypot).

Thiết bị nào bị ảnh hưởng?

  • Tường lửa PA-Series và VM-Series chạy PAN-OS 10.2, 11.1, 11.2, 12.1 và 12.2.
  • Panorama, cả bản ảo và thiết bị M-Series.
  • Không cần cấu hình đặc biệt mới bị ảnh hưởng, nhưng điểm tấn công chỉ là giao diện quản trị web (trang quản trị HTTPS và XML API). Cổng dữ liệu chỉ bị ảnh hưởng nếu có gắn hồ sơ quản trị (management profile).
  • Không bị ảnh hưởng: GlobalProtect portal/gateway, Clientless VPN, Captive Portal, Cloud NGFW, Prisma Access và ứng dụng GlobalProtect.

Lịch phát hành bản vá

Tại thời điểm 24/10, bản vá PAN-OS chưa phát hành. Lịch dự kiến của hãng: ngày 26/10 cho các nhánh 10.2.18-h13, 11.1.16-h4 và 11.2.10-h16; ngày 28/10 cho 12.2.4-h1; các bản hotfix còn lại phát hành tới khoảng 30/10. Doanh nghiệp nên theo dõi trực tiếp trang thông báo bảo mật của Palo Alto để lấy đúng bản cho thiết bị của mình.

Doanh nghiệp Việt Nam nên làm gì ngay?

Nhiều đơn vị tại Việt Nam thuê đối tác lắp đặt tường lửa rồi để nguyên cấu hình mặc định nhiều năm, đôi khi mở luôn trang quản trị ra Internet để tiện hỗ trợ từ xa. Đây chính là kịch bản rủi ro cao nhất. Một số việc nên làm trong tuần này:

  1. Kiểm tra trang quản trị có mở ra Internet không. Thử truy cập địa chỉ IP công cộng của văn phòng bằng HTTPS từ mạng 4G. Nếu thấy trang đăng nhập PAN-OS, cần đóng ngay.
  2. Giới hạn truy cập quản trị chỉ từ dải IP nội bộ tin cậy hoặc một máy trung gian (jump box) riêng. Gỡ management profile khỏi các cổng dữ liệu hướng ra ngoài.
  3. Cập nhật nội dung Threat Prevention lên bản 9162 trở lên (chữ ký 543004 và các chữ ký bổ sung). Lưu ý lớp bảo vệ này chỉ hiệu quả khi lưu lượng quản trị đi qua cổng dữ liệu có giải mã HTTPS và bật kiểm tra mối đe dọa.
  4. Lên lịch nâng cấp PAN-OS ngay khi bản vá cho nhánh đang dùng được phát hành; sao lưu cấu hình trước khi nâng cấp và chọn khung giờ ngoài giờ làm việc.
  5. Rà soát nhật ký đăng nhập quản trị và cảnh báo hệ thống từ khoảng ngày 17/10, thời điểm bắt đầu có dò quét lỗi PHP.
  6. Kiểm tra các hệ thống PHP khác: website WordPress, phần mềm kế toán web, NAS, camera, thiết bị mạng có giao diện quản trị web. Bất kỳ thiết bị nào nhúng PHP cũ đều cần hỏi nhà sản xuất về bản vá.

Bài học về quản trị thiết bị mạng

Biện pháp hạn chế truy cập chỉ là tạm thời, không thay thế được việc cài bản vá. Về lâu dài, doanh nghiệp nên tách mạng quản trị riêng, bật xác thực hai lớp cho tài khoản quản trị, và có hợp đồng bảo trì để thiết bị luôn nhận bản cập nhật. Với các văn phòng nhỏ chưa có tường lửa chuyên dụng, đây cũng là dịp đánh giá lại: router gia đình hoặc thiết bị đã hết hỗ trợ thường không bao giờ nhận bản vá cho những lỗi kiểu này.

DTIC cung cấp tư vấn, lắp đặt và bảo trì tường lửa, router, switch và Wi-Fi cho doanh nghiệp. Tham khảo danh mục Thiết bị mạng & NAS hoặc liên hệ Hotline/Zalo 0913.745.698 để được kiểm tra cấu hình miễn phí.

Nguồn tham khảo