Hai lỗ hổng PHP nghiêm trọng khiến hàng loạt trang web toàn cầu lao đao

Hai lỗ hổng bảo mật nghiêm trọng trong ngôn ngữ lập trình PHP đang khiến một phần lớn hạ tầng internet rơi vào tình trạng báo động. Theo nhiều thống kê, có tới khoảng 70% website trên thế giới sử dụng PHP ở một mức độ nào đó — bao gồm Wikipedia, WordPress, Drupal cùng vô số nền tảng phổ biến khác.

Minh họa về bảo mật và virus máy tính

Mức độ nguy hiểm chưa từng có

Theo các chuyên gia, lỗ hổng có điểm nghiêm trọng lên tới 9,2/10. Đây là dạng lỗi Remote Code Execution (RCE) — cho phép kẻ tấn công chạy mã tùy ý trên máy chủ bị ảnh hưởng, từ đó sửa đổi nội dung trang, đánh cắp dữ liệu hoặc chiếm quyền kiểm soát hệ thống.

Điều đáng lo ngại là lỗ hổng tồn tại trong mọi phiên bản PHP từ PHP 5 trở đi, tức là kéo dài gần 20 năm lịch sử. Nhiều phiên bản cũ đã hết được hỗ trợ và không còn nhận bản vá, khiến các trang web lâu năm không có cách nào khắc phục ngoài việc đóng cửa vĩnh viễn.

Công ty bảo mật Wiz gọi đây là "một trong những lỗ hổng nghiêm trọng nhất từng được phát hiện trong lịch sử phần mềm".

AI khiến lỗ hổng cũ trở nên chết người

Bản thân lỗi này không mới. Trước đây, để khai thác nó đòi hỏi "một chuỗi bước cực kỳ phức tạp, nằm ở giới hạn mà con người gần như không thể thực hiện được". Tuy nhiên, sự phát triển của các mô hình AI mạnh đã biến những lỗi tưởng chừng vô hại thành vũ khí nguy hiểm.

Theo OpenAI, một nhà nghiên cứu bảo mật tại California đã dùng mô hình GPT-5.6 Sol để phát hiện lỗ hổng PHP trước khi kẻ tấn công làm điều đó, đồng thời công bố công cụ giúp lập trình viên kiểm tra phiên bản PHP của mình có dễ bị tổn thương hay không. Ami Luttwak, đồng sáng lập nhóm bảo mật Wiz của Google, nhận định với Wall Street Journal rằng đây là "lỗ hổng AI nghiêm trọng nhất từng được tìm ra".

Làn sóng tấn công bùng nổ

Ông Matthew Prince, CEO của Cloudflare, cho biết công ty đã ghi nhận hàng nghìn nỗ lực khai thác trong 10 giờ trước khi thông tin được công bố. Con số này nhảy vọt lên hàng trăm nghìn chỉ 2 giờ sau khi công bố, và tới hàng triệu vào cuối ngày hôm sau.

Các tổ chức an ninh mạng lớn đã lên tiếng cảnh báo. Tài khoản Cybersecurity của NSA (Mỹ) khuyến nghị các tổ chức tạm ngắt hệ thống khỏi internet nếu "không thể cập nhật ngay lập tức", và Trung tâm An ninh mạng Quốc gia Anh (NCSC) cũng đưa ra khuyến nghị tương tự.

Ảnh minh họa thiết bị và bảo mật

Những nạn nhân đầu tiên

Hàng loạt dịch vụ nổi tiếng đã buộc phải tạm đóng cửa:

• 4chan và DeviantArt tạm ngừng hoạt động ngay sau khi lỗ hổng được công bố.
• Một số cơ quan chính phủ Hà Lan và Phần Lan chủ động gỡ trang web để phòng ngừa.
• Pokémon Home và Pokémon Champions cũng bị đưa xuống.
• Hai tựa game di động lâu năm của Nhật là World Quest và Save My Demonic World buộc phải đóng cửa vĩnh viễn vì chạy trên nền tảng cũ không thể vá được.

Bài học cho Việt Nam

Với một quốc gia có hàng trăm nghìn website dùng WordPress và các CMS chạy trên PHP như Việt Nam, đây là lời cảnh báo trực tiếp. Các đơn vị vận hành website, đặc biệt là trang thương mại điện tử, cổng thông tin và hệ thống nội bộ, cần:

• Kiểm tra ngay phiên bản PHP đang chạy và cập nhật bản vá mới nhất.
• Rà soát các hệ thống cũ, plugin lỗi thời không còn được bảo trì.
• Cân nhắc tạm ngắt các dịch vụ không có bản vá thay vì để lộ diện trước tấn công.
• Sao lưu dữ liệu và theo dõi log bất thường trong những ngày tới.

Sự việc lần này cho thấy một nghịch lý của thời đại AI: công nghệ giúp phát hiện lỗ hổng nhanh hơn, nhưng cũng rút ngắn khoảng thời gian quý giá mà các tổ chức có để phản ứng. Việc vá lỗi kịp thời không còn là tùy chọn, mà là yêu cầu sống còn.