Chính phủ Mỹ cảnh báo tin tặc đang khai thác lỗ hổng nghiêm trọng trong PHP

Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) vừa xác nhận rằng tin tặc đang chủ động khai thác hai lỗ hổng bảo mật nghiêm trọng trong PHP — ngôn ngữ lập trình web đã tồn tại hàng chục năm và được sử dụng trên khoảng 70% máy chủ hướng ra internet. CISA đã ra tối hậu thư buộc các cơ quan dân sự thuộc chính phủ liên bang Mỹ phải vá hệ thống trong vòng ba ngày.

Đáng chú ý, cảnh báo khẩn này được đưa ra chưa đầy một tuần sau khi nhóm duy trì PHP phát hành bản vá cho hai lỗ hổng nói trên. Các lỗ hổng cho phép kẻ tấn công từ xa xâm nhập hệ thống bị ảnh hưởng qua internet mà không cần mật khẩu. Mức độ nghiêm trọng khiến một số chính phủ và doanh nghiệp lớn đã phải tạm đưa website của mình xuống để xử lý.

Lỗ hổng "ngủ quên" bị đánh thức bởi AI

Điều khiến câu chuyện này đặc biệt đáng lo là hai lỗ hổng — được gọi chung là PHP2Shell — đã tồn tại âm thầm trong nhiều năm. Chúng được phát hiện lần đầu cách đây hai năm, nhưng tổ chức phi lợi nhuận duy trì PHP khi đó khẳng định không có cách nào thực tế để tin tặc khai thác, nên các lỗ hổng bị bỏ ngỏ, không được vá.

Bước ngoặt đến vào đầu năm nay, khi các nhà nghiên cứu tại công ty bảo mật Calif tìm ra phương thức khai thác cả hai lỗ hổng đang "ngủ quên" này — với sự hỗ trợ của một mô hình AI.

Đây là minh chứng rõ ràng cho thấy sự tiến bộ của AI đang làm thay đổi cán cân trong cuộc chiến bảo mật: những lỗ hổng từng được đánh giá là "không thể khai thác" nay có thể bị biến thành vũ khí tấn công.

Hai lỗi trong PHP chỉ là một trong vô số lỗ hổng chưa được phát hiện hoặc đã bị xếp sau trong danh sách ưu tiên nhiều năm qua, nhưng nay trở nên nguy hiểm nhờ khả năng của các mô hình AI trong việc tìm kiếm và khai thác điểm yếu — kể cả khi phải kết hợp nhiều lỗi lại với nhau.

Vấn đề nguồn lực của phần mềm mã nguồn mở

CISA không tiết lộ chi tiết về các nhóm đang khai thác lỗ hổng, nhưng cảnh báo của cơ quan này xuất hiện ngay sau khi các nhà nghiên cứu bảo mật công bố bằng chứng về việc khai thác thực tế trên diện rộng.

Câu chuyện của PHP cũng phơi bày một thực trạng quen thuộc: nhiều công nghệ nền tảng giúp duy trì internet và các hệ thống hiện đại đã thiếu nguồn lực và kinh phí trong nhiều năm. Điều này khiến các dự án mã nguồn mở như PHP khó có thể chi trả cho những đợt đánh giá bảo mật chuyên sâu — vốn có thể giúp phát hiện lỗ hổng sớm hơn.

Khuyến nghị cho doanh nghiệp và tổ chức tại Việt Nam

Với các tổ chức, doanh nghiệp Việt Nam đang vận hành hệ thống dùng PHP — từ website thương mại điện tử, cổng thông tin đến các ứng dụng nội bộ — đây là lời nhắc nhở cấp thiết:

• Kiểm tra ngay phiên bản PHP đang sử dụng và cập nhật bản vá mới nhất do nhóm duy trì PHP phát hành.
• Rà soát nhật ký hệ thống để phát hiện dấu hiệu truy cập bất thường, đặc biệt là các yêu cầu từ xa không qua xác thực.
• Không trì hoãn việc vá lỗi với tâm lý "lỗi cũ chắc không sao" — như trường hợp này cho thấy, AI có thể biến những lỗ hổng tưởng chừng vô hại thành mối đe dọa thực sự.
• Xem xét các lớp phòng thủ bổ sung như tường lửa ứng dụng web (WAF) trong thời gian chờ vá.

Lỗ hổng trong PHP là lời cảnh tỉnh rằng trong kỷ nguyên AI, tốc độ vá lỗi và mức độ ưu tiên bảo mật cần được nâng lên đáng kể — bởi chính những công cụ AI đang giúp các chuyên gia phòng thủ cũng đang trao thêm sức mạnh cho kẻ tấn công.