Vào thứ Tư, một công nghệ mạng mã nguồn mở đã tồn tại hàng chục năm, PHP, gần như khiến internet tê liệt do hai lỗ hổng bảo mật, sau nhiều năm im lặng, gần đây mới được các nhà nghiên cứu tìm ra cách khai thác.
Hai lỗ hổng này được gọi là PHP2Shell, có số hiệu chính thức là CVE-2026-109618 và CVE-2026-109619. Nói một cách đơn giản, những lỗ hổng này cho phép bất kỳ ai biết cách khai thác chúng xâm nhập vào các hệ thống trực tuyến chạy PHP, chẳng hạn như trang web hoặc máy chủ kết nối với internet, mà không cần mật khẩu, để truy cập hoặc sửa đổi dữ liệu trong đó.
Từ mức độ nghiêm trọng của sự việc, sự kiện này rất lớn, buộc hàng triệu người trên toàn cầu phải khẩn trương vá lỗ hổng hệ thống trước khi kẻ tấn công độc hại khai thác.
PHP Foundation đã công bố bản vá sửa lỗi vào thứ Tư để duy trì phần mềm mạng PHP, giúp ngăn chặn các cuộc tấn công vào máy chủ trực tuyến sau khi cài đặt. Trước đó, nền tảng này đã cung cấp quyền truy cập sớm vào bản vá cho một số công ty internet lớn nhất và nhà cung cấp lưu trữ web phụ thuộc vào PHP.
Nhờ vào các cuộc trao đổi hậu trường trong nhiều tuần và sự phối hợp cẩn trọng trong ngành, toàn cầu đã tránh được tình trạng internet bị khai thác quy mô lớn cho đến nay. Kể từ thứ Tư, các chính phủ trên thế giới bắt đầu kêu gọi công dân và các doanh nghiệp sở hữu trang web hành động để giảm thiểu rủi ro. Các ngân hàng, nhà bán lẻ, trang web trò chơi, cửa hàng trực tuyến, bệnh viện và một số cơ quan chính phủ đã tắt máy chủ để ngăn chặn các cuộc tấn công.
Tuy nhiên, các chuyên gia bảo mật cảnh báo rằng sự việc chưa kết thúc, vẫn còn rất nhiều hệ thống trên toàn cầu chưa được vá lỗi và vẫn dễ bị xâm nhập cũng như đánh cắp dữ liệu.
Đây cũng rất có thể không phải là cuộc khủng hoảng phần mềm internet lớn cuối cùng. Một số người dự đoán rằng sự xuất hiện của trí tuệ nhân tạo sẽ nhanh chóng phát hiện thêm nhiều lỗ hổng chưa được nhận diện, đang chờ được tìm ra và lạm dụng.
What happened?
Các nhà nghiên cứu bảo mật của Calif đã phát hiện ra hai lỗ hổng trong PHP. PHP là một ngôn ngữ lập trình được sử dụng rộng rãi toàn cầu để xây dựng trang web và ứng dụng web, được dùng cả trên internet lẫn các hệ thống được lưu trữ nội bộ trong mạng doanh nghiệp, chẳng hạn như intranet và các trang web nội bộ.
Hai lỗ hổng này được phát hiện lần đầu vào năm 2024, nhưng lúc đó không được coi là có thể khai thác, do đó không được vá. Các nhà nghiên cứu bảo mật gần đây đã tìm ra cách khai thác chúng và đã cảnh báo các nhà phát triển phần mềm sửa ngay lập tức.
Calif đã thông báo cho PHP Foundation, sau đó tổ chức này bắt đầu khắc phục lỗ hổng và phối hợp công bố thông tin. Qua việc cung cấp thông tin và bản vá trong thời gian giữ bí mật nghiêm ngặt—tức là duy trì tính bảo mật cho đến một mốc thời gian nhất định—các công ty lớn có cơ hội cài đặt bản vá trước khi thông tin được công khai.
Tại sao những lỗ hổng này lại nghiêm trọng đến vậy?
PHP2Shell nghiêm trọng vì nó có thể bị lạm dụng từ xa qua internet, và nạn nhân không cần nhấp vào liên kết hoặc mở tệp. Đây được gọi là thực thi mã từ xa, một trong những loại lỗ hổng phá hoại nhất, vì chúng có thể cho phép tin tặc ở bất kỳ đâu trên thế giới kiểm soát gần như hoàn toàn các hệ thống bị ảnh hưởng và chưa được vá.
Tệ hơn nữa, các lỗ hổng PHP cụ thể này cho phép kẻ tấn công xâm nhập vào bất kỳ hệ thống nào chưa được vá thông qua internet mà không cần mật khẩu hoặc bất kỳ chứng chỉ nào khác, được gọi là truy cập không xác thực.
Điều này sẽ cho phép tin tặc độc hại cài đặt phần mềm độc hại trên máy tính, chẳng hạn như đánh cắp dữ liệu, hoặc chỉ để duy trì một điểm đồn trú lâu dài nhằm quay lại sau này.
Tại sao 70% trang web bị ảnh hưởng?
PHP chỉ là một trong nhiều công nghệ cũ kỹ nhưng vẫn hoạt động bình thường, đã trải qua nhiều giai đoạn phát triển và thay thế của internet, hiện nay đã phổ biến khắp nơi, gần như là chất keo gắn kết phần lớn hoạt động của internet. Nhiều khi, những công cụ này được các nhà duy trì mã nguồn mở phát triển mà không nhận được bất kỳ khoản thù lao nào cho công việc của họ, do đó không đủ khả năng chi trả cho các cuộc kiểm toán bảo mật bên thứ ba — nhưng các doanh nghiệp vẫn phụ thuộc rộng rãi vào những dự án này mà không cung cấp hỗ trợ tài chính cho chúng.
Were these vulnerabilities discovered by artificial intelligence?
Các nhà nghiên cứu bảo mật của Calif đã được ghi nhận vì phát hiện các lỗ hổng này trong quá trình kiểm tra bảo mật mã PHP vào đầu năm nay. Calif tham gia chương trình Hack the Planet do OpenAI và công ty bảo mật đám mây hàng đầu Wiz khởi xướng, sau đó Wiz đã xác minh mã khai thác chứng minh khái niệm do Calif tạo ra.
Trong bài viết giải thích của Calif (còn kèm theo truyện tranh – rất hay và đáng để xem), các nhà nghiên cứu giải thích rằng trí tuệ nhân tạo được sử dụng để hỗ trợ khai thác lỗ hổng, nhưng phần lớn công việc vẫn dựa vào kiến thức sẵn có của các nhà nghiên cứu và sự am hiểu của họ về mã nguồn PHP và lịch sử khai thác lỗ hổng.
Calif viết: “Không có mô hình nào có thể chỉ dựa vào các lời nhắc đơn giản để trực tiếp khai thác ‘tất cả lỗ hổng’. Ít nhất là hiện tại thì chưa thể.”
Tại sao những lỗ hổng này đã bị khai thác trước khi được công bố?
Mặc dù các bên đã nỗ lực giữ bí mật chi tiết lỗ hổng đến thứ Tư, nhưng dường như PHP2Shell đã xuất hiện một số hành vi khai thác trước khi bản vá được phát hành.
Với quy mô lớn và mức độ hiển thị cao, Amazon có khả năng nhận thức sâu sắc về các mối đe dọa trực tuyến. Trong một bài đăng trên blog, công ty cho biết họ đã phát hiện các dấu hiệu khai thác PHP2Shell khoảng một tuần trước khi bản vá PHP được phát hành, cho thấy có ai đó tại một nơi nào đó đã biết cách khai thác các lỗ hổng này trước khi chi tiết chúng được công bố rộng rãi. Amazon cho biết hiện vẫn chưa rõ kẻ tấn công làm thế nào để biết đến các lỗ hổng này, nhưng các nhà phòng thủ nên quay lại ngày 17 tháng 10 để tìm bằng chứng về việc bị khai thác.
Có một số cách giải thích về diễn biến sự việc. Một khi lỗ hổng được vá, các chi tiết bản vá có thể lập tức trở nên rõ ràng, đặc biệt là trong các mã nguồn mở như PHP, nơi bất kỳ ai cũng có thể xem công khai. Việc khai thác lỗ hổng này có thể không dễ dàng, nhưng việc biết vị trí lỗ hổng và cách nó được vá có thể giúp các hacker độc hại xác định mục tiêu tấn công và phát triển mã khai thác.
Cũng có khả năng xảy ra rò rỉ ở một số nơi trong thời gian cấm, hoặc sự liên lạc bị gián đoạn. Cộng đồng mã nguồn mở có quy mô lớn, và việc kiểm soát thông tin theo cách này phụ thuộc vào sự hợp tác trung thực từ các bên liên quan.
Ngoài ra, cũng có thể tin tặc đã phát hiện ra các lỗ hổng này một cách độc lập trước đó, hoặc biết được chúng thông qua các hoạt động gián điệp.
Các nhà nghiên cứu cho biết, để khai thác các lỗ hổng này một cách thực sự hiệu quả cần rất nhiều công sức, việc vũ khí hóa các lỗ hổng luôn là một thách thức—nhưng không phải không thể—điều này giải thích tại sao chúng ta chưa từng thấy các tình huống khai thác quy mô lớn cho đến nay.
Internet trải qua sự gián đoạn quy mô lớn, nhưng đang phục hồi. Chúng ta đã tránh được tình huống tồi tệ nhất chưa?
Việc đưa ra kết luận hiện nay vẫn còn quá sớm, nhưng đến nay chưa có dấu hiệu nào cho thấy việc khai thác quy mô lớn, đây ít nhất là một tín hiệu đáng khích lệ—tuy nhiên, chúng ta vẫn chưa hoàn toàn thoát khỏi vùng nguy hiểm.
CEO của công ty an ninh mạng và giám sát Cloudflare, Matthew Prince, cho biết tuần này rằng công ty đã chứng kiến số lượng nỗ lực khai thác các lỗ hổng tăng theo cấp số nhân sau khi các lỗ hổng được tiết lộ. Điều này cũng cho thấy các tác nhân xấu đang nhanh chóng cố gắng khai thác các lỗ hổng này để lợi dụng cho bản thân.
PHP không chỉ được sử dụng trên máy chủ web, mà còn dùng để phát triển công cụ, gói phần mềm dòng lệnh và đầu cuối, cũng như các thành phần phần mềm khác được sử dụng trong router, thiết bị lưu trữ và thiết bị bảo mật doanh nghiệp (như tường lửa và VPN).
Có thể dự kiến rằng việc khai thác PHP2Shell sẽ tiếp tục xuất hiện trong tương lai, vì các nhóm IT quy mô nhỏ và các nhà phát triển độc lập có thể cập nhật chậm hơn. Đồng thời, nhiều công ty tích hợp PHP vào sản phẩm và phần mềm của mình cũng cần cập nhật, điều này sẽ trải qua một giai đoạn chuyển tiếp.
Khi ngày càng nhiều thiết bị và hệ thống được cập nhật, bề mặt tấn công sẽ dần thu hẹp. Tuy nhiên, tác động dây chuyền của các lỗ hổng này vẫn có thể kéo dài nhiều năm, đặc biệt là trong các hệ thống cũ không thể cập nhật.
Will this happen again?
Trong những năm tôi làm phóng viên an ninh, đây là một ngày hiếm hoi khiến internet đình trệ. Năm 2016, một mạng botnet khổng lồ đã tấn công công ty đăng ký internet Dyn bằng lưu lượng spam, khiến hầu hết các trang web hàng đầu ngừng hoạt động. Năm 2017, Triều Tiên sử dụng các công cụ tin tặc bị rò rỉ của chính phủ Mỹ để lây nhiễm hệ thống y tế Anh và phát tán phần mềm tống tiền. Năm 2024, một bản cập nhật lỗi của CrowdStrike đã gây ra sự cố ngừng hoạt động quy mô toàn cầu, khiến hầu hết các máy tính Windows trên toàn thế giới đồng thời sụp đổ.
Từ mọi góc độ, nhờ vào PHP2Shell, internet đã tránh được một ngày có thể cực kỳ đau đớn và phá hoại. Nhưng đây rất có thể không phải là sự kiện lớn ảnh hưởng đến mạng lưới lần cuối trong tương lai, và đây có thể là khởi đầu của một chuỗi các sự kiện khai thác điểm yếu của công nghệ cũ. Phần lớn là do chính những phần mềm cũ nhưng phổ biến này có những khuyết tật vốn có chưa được phát hiện, cộng thêm các công cụ trí tuệ nhân tạo khiến việc phát hiện lỗ hổng trở nên dễ dàng hơn.
PHP và các ngôn ngữ và công nghệ lập trình web cách đây vài thập kỷ khác thuộc nhóm phần mềm “không an toàn về bộ nhớ”, nghĩa là chúng có thể bị khai thác bởi một loạt lỗ hổng khiến phần mềm rò rỉ hoặc tràn dữ liệu nhạy cảm từ bộ nhớ. Cơ quan An ninh Quốc gia Hoa Kỳ cho biết khoảng 75% các lỗ hổng đang bị khai thác tích cực đều tận dụng các khiếm khuyết liên quan đến bộ nhớ, tức là tin tặc thường sử dụng các lỗ hổng này.
Điều này đã thúc đẩy ngành công nghiệp chuyển sang sử dụng các ngôn ngữ an toàn về bộ nhớ, chẳng hạn như Python, Rust và Swift, những ngôn ngữ này không dễ bị lạm dụng như các lỗ hổng bộ nhớ. Do đó, các ngôn ngữ này phần lớn miễn nhiễm với số lượng lớn lỗ hổng vẫn ảnh hưởng đến các thế hệ tiền nhiệm của chúng.
Nhưng điều này vẫn để lại một phần đáng kể của internet, chạy các phần mềm hàng chục năm trước như PHP, phương tiện và bộ mã hóa/giải mã video, thư viện nén, và khi những công nghệ này gặp sự cố, chúng sẽ gây ảnh hưởng lớn đến toàn bộ mạng lưới.