Cơ quan an ninh mạng Mỹ CISA đã xác nhận rằng các tin tặc đang tích cực khai thác hai lỗ hổng bảo mật nghiêm trọng trong phần mềm web PHP được sử dụng rộng rãi và đã ra lệnh cho các cơ quan liên bang dân sự trong chính phủ Mỹ khắc phục hệ thống trong vòng ba ngày tới.
Chỉ chưa đầy một tuần trước khi bản vá khẩn cấp này được phát hành, nhà phát triển lâu năm của ngôn ngữ lập trình web PHP vừa tung ra bản sửa lỗi cho hai lỗ hổng này. Những lỗ hổng này cho phép tin tặc xâm nhập từ xa vào các hệ thống dễ bị tổn thương qua internet mà không cần mật khẩu. Báo cáo cho biết, phần mềm PHP được khoảng 70% các máy chủ hướng web sử dụng, khiến hàng loạt trang web và ứng dụng đối mặt với nguy cơ. Mức độ nghiêm trọng của lỗ hổng đã thúc đẩy một số chính phủ và công ty lớn tắt trang web của họ để tiến hành khắc phục.
Mặc dù các lỗ hổng này được đánh giá là “nghiêm trọng”, nghĩa là có thể gây thiệt hại lớn nếu bị khai thác, nhưng các chuyên gia bảo mật cho biết việc phát triển các công cụ tấn công hữu dụng ban đầu không dễ dàng—nhưng cũng không phải là không thể. Việc xác nhận hiện có các cuộc tấn công thực tế đã tạo áp lực lớn hơn lên các tổ chức nhằm khẩn trương vá các hệ thống để ngăn chặn xâm nhập độc hại, gián đoạn dịch vụ và rò rỉ dữ liệu.
CISA không cung cấp chi tiết về ai đang khai thác các lỗ hổng này trong tuyên bố vào thứ Hai, nhưng ngay trước khi tuyên bố được phát hành, các chuyên gia an ninh đã cho biết họ phát hiện bằng chứng cho thấy các lỗ hổng PHP đang bị khai thác.
Các lỗ hổng này, được gọi là PHP2Shell, khai thác những khiếm khuyết trong phần mềm đã tồn tại nhiều năm mà không bị phát hiện. Chúng ban đầu được phát hiện cách đây hai năm, nhưng quỹ phi lợi nhuận phụ trách bảo trì phần mềm lúc đó cho rằng tin tặc không có phương pháp thực tế nào để khai thác chúng, do đó chưa vá kịp. Cho đến đầu năm nay, các nhà nghiên cứu từ công ty an ninh Calif đã tìm ra cách khai thác hai lỗ hổng lâu năm này với sự hỗ trợ của một mô hình AI.
Hai lỗ hổng này trong PHP chỉ là một phần nhỏ trong số vô số lỗ hổng chưa được phát hiện hoặc đã bị hoãn ưu tiên trong nhiều năm; cùng với khả năng ngày càng tăng của các mô hình AI trong việc phát hiện và khai thác lỗ hổng, bao gồm cả việc kết nối nhiều lỗi khác nhau, những lỗ hổng này hiện nay cũng mang lại rủi ro.
PHP là một trong nhiều công nghệ web cũ kỹ đang hỗ trợ hoạt động của internet và công nghệ hiện đại, nhưng nhiều năm qua đã thiếu hụt nguồn lực và vốn đầu tư, khiến các dự án mã nguồn mở như PHP khó có thể chi trả cho các cuộc kiểm tra bảo mật — những cuộc kiểm tra này có thể đã phát hiện ra lỗ hổng sớm hơn.