Người dùng và nhà phát triển tiền điện tử đang đối mặt với nguy cơ bảo mật web gia tăng sau khi các bản vá khẩn cấp được phát hành cho các lỗ hổng PHP mới được tiết lộ. CEO của Immunefi, Mitchell Amador, cảnh báo rằng trong vài tuần tới, người dùng internet nên giả định rằng bất kỳ trang web nào họ đăng nhập đều có thể đã bị xâm phạm—đặc biệt là những trang do các tổ chức nhỏ vận hành, nơi có thể mất nhiều thời gian hơn để triển khai bản cập nhật.
Amador mô tả tình hình như một sự tiếp nối của những gì ông gọi là “áp lực thảm họa lỗ hổng”, nơi việc phát hiện các lỗ hổng ngày càng nhanh và rẻ hơn, nhưng công việc thực sự để khắc phục chúng vẫn chậm và tốn kém đối với nhiều nhà vận hành. Nhận xét của ông được đưa ra sau khi PHP Foundation thừa nhận rằng việc vá lỗi bảo mật nghiêm trọng đã bị hoãn do hạn chế về nguồn lực.
Những điểm chính
- CEO của Immunefi, Mitchell Amador, kêu gọi người dùng coi các phiên web là không an toàn cho đến khi các bản vá được triển khai rộng rãi.
- Người dùng khi kết nối ví tiền điện tử với các trang web nên đặc biệt cẩn thận và không nên sử dụng lại mật khẩu.
- Các nhà đầu tư và người dùng nên hủy phê duyệt token mà họ không nhận ra hoặc không cấp phép.
- Theo CEO Cloudflare Matthew Prince, các nỗ lực khai thác đã tăng mạnh ngay sau khi công bố công khai các vấn đề của PHP.
- Vì các trang web phải nâng cấp độc lập, lịch trình vá lỗi có khả năng không đồng đều trên toàn internet—ngay cả sau khi các bản vá khẩn cấp được công bố.
Tại sao cửa sổ vá PHP này có thể đặc biệt nguy hiểm
Lời cảnh báo của Amador nhắm vào khoảng thời gian giữa việc công bố lỗ hổng và việc khắc phục hoàn toàn. Ngay cả khi các bản vá khẩn cấp được phát hành, các trang web cá nhân vẫn cần tự thực hiện nâng cấp—công việc mà các nhà vận hành nhỏ hơn có thể trì hoãn do thiếu nhân sự, kiểm thử hoặc độ phức tạp trong triển khai.
Anh ấy cho biết Cointelegraph rằng người dùng nên điều chỉnh hành vi ngay lập tức: trong vài tuần tới, hãy coi mọi trang web mà họ đăng nhập vào như thể đã bị xâm phạm. Về mặt thực tế, điều đó có nghĩa là tránh các thói quen xác thực rủi ro (như sử dụng lại mật khẩu) và cẩn trọng hơn khi tương tác với các ứng dụng kết nối ví.
Amador cũng khuyến nghị hủy các sự chấp thuận token mà người dùng không nhận ra. Trong hệ sinh thái tiền điện tử, các sự chấp thuận có thể hiệu quả như cấp quyền cho hợp đồng thông minh thay cho người dùng—do đó, một trang web bị xâm phạm có thể cố gắng đẩy các sự chấp thuận độc hại nếu người dùng tương tác mà không kiểm tra kỹ lưỡng.
Sự phản hồi chậm trễ của PHP Foundation và những gì đã thay đổi
Chu kỳ lo ngại mới nhất xuất hiện gần một tuần sau khi PHP Foundation thừa nhận đã trì hoãn việc khắc phục một lỗ hổng bảo mật nghiêm trọng được phát hiện lần đầu vào năm 2024. Trong tuyên bố của mình, PHP Foundation cho biết nguyên nhân khiến việc khắc phục kéo dài hơn dự kiến là do thiếu hụt nguồn lực.
Các bản vá khẩn cấp cho hai lỗ hổng nghiêm trọng đã được phát hành vào cùng một ngày, nhưng—quan trọng là—việc có sẵn bản vá không đảm bảo việc áp dụng nhanh chóng. Các trang web vẫn phải cập nhật các bản cài đặt PHP và stack phần mềm của riêng mình. Khoảng cách giữa việc công bố bản vá và việc triển khai rộng rãi là nơi nhiều cuộc tấn công thực tế có thể phát triển.
Cointelegraph trước đây đã đưa tin về khung “tận thế lỗ hổng” rộng hơn của Amador trong một cuộc phỏng vấn được xuất bản vào tháng Sáu, nơi ông cho rằng sự gia tăng của các mô hình AI tiên tiến đã làm thay đổi sân chơi an ninh mạng theo hướng có lợi cho kẻ tấn công. Trong cuộc trò chuyện đó, ông liên hệ hiện tượng này với sự tái xuất hiện của các vụ hack DeFi, cho rằng hệ sinh thái vẫn dễ bị tổn thương khi các biện pháp phòng thủ không theo kịp khả năng của kẻ tấn công.
Các nỗ lực khai thác đã diễn ra nhanh sau khi tiết lộ
Tốc độ dường như là một phần then chốt của câu chuyện này. Theo CEO của Cloudflare Matthew Prince, Cloudflare đã ghi nhận hàng triệu nỗ lực khai thác trong vòng 24 giờ sau khi các lỗ hổng PHP được công bố công khai, với hàng ngàn nỗ lực xảy ra ngay cả trước khi tiết lộ. Prince đã chia sẻ những quan sát này trong một bài đăng trên X.
Quy mô của mức độ phơi nhiễm tiềm ẩn được tăng cường bởi việc PHP được sử dụng rộng rãi. Dịch vụ nghiên cứu W3Techs ước tính rằng PHP điều hành khoảng 69% các trang web sử dụng ngôn ngữ lập trình phía máy chủ được biết đến. Riêng biệt, Cloudflare cho biết khoảng một trong năm trang web toàn cầu định tuyến lưu lượng truy cập thông qua mạng của nó, nghĩa là một phần lớn internet có thể bị ảnh hưởng đồng thời khi có các lỗ hổng tiếp xúc với internet.
Các chuyên gia bảo mật và hướng dẫn của cơ quan thực thi pháp luật cũng nhấn mạnh mức độ nghiêm trọng. Bộ phận An ninh Mạng của FBI cảnh báo rằng các lỗ hổng này có thể cho phép các tác nhân độc hại “thực thi mã từ xa trong lõi PHP,” có thể xâm phạm dữ liệu nhạy cảm và mạng lưới—một kết quả có thể kéo dài xa hơn nhiều so với đơn thuần là phá hoại trang web.
Điều mà người dùng tiền điện tử nên làm trong quá trình cập nhật bản vá
Vấn đề này không chỉ là mối quan tâm về bảo mật web nói chung; nó trực tiếp liên quan đến các hành vi tạo ra rủi ro cho người dùng tiền điện tử. Lời khuyên của Amador tập trung vào việc giảm thiểu tác động nếu một trang web bị xâm phạm trong khi người dùng vẫn đang chờ các bản nâng cấp được triển khai.
Ngoài việc duy trì các biện pháp bảo mật cơ bản, anh ấy nhấn mạnh ba hành động:
- Xem các trang web là không an toàn trong vài tuần tới cho đến khi bạn có lý do để tin tưởng tình trạng vá lỗi của chúng.
- Tránh sử dụng lại mật khẩu để giảm thiểu phạm vi ảnh hưởng nếu thông tin đăng nhập bị lấy từ nơi khác.
- Hủy các sự cho phép token không nhận diện được, đặc biệt là những sự cho phép được cấp thông qua các trang web bên thứ ba hoặc các quy trình liên quan đến ví.
Đối với các nhà quản trị đang vận hành các trang web sử dụng PHP, hệ quả rất rõ ràng: việc phát hành bản vá chỉ mới là bước đầu tiên. Giá trị bảo vệ phụ thuộc vào việc nâng cấp kịp thời, xác minh và giám sát liên tục—vì các kẻ tấn công thường hành động nhanh chóng ngay khi lỗ hổng trở nên có thể khai thác.
Người đọc nên theo dõi tốc độ mà các nền tảng web lớn và các trang web nhỏ đều hoàn thành việc nâng cấp, cũng như xem các báo cáo tiếp theo có cho thấy sự giảm thiểu trong các nỗ lực khai thác hay không. Giai đoạn tiếp theo có khả năng sẽ được xác định ít hơn bởi thời điểm các bản vá được phát hành và nhiều hơn bởi thời điểm chúng thực sự được áp dụng trên toàn bộ diện tích internet phụ thuộc vào PHP.
Bài viết này ban đầu được xuất bản dưới tiêu đề CEO Immunefi cảnh báo lỗ hổng PHP làm nổi bật rủi ro bảo mật liên quan đến AI trên Crypto Breaking News – nguồn tin tức crypto đáng tin cậy của bạn về tin tức Bitcoin và cập nhật blockchain.