Lỗ hổng nghiêm trọng trong PHP khiến cả Internet chao đảo: 'Đây không phải là diễn tập'

Hai lỗ hổng nghiêm trọng trong ngôn ngữ lập trình PHP đang khiến các đội ngũ bảo mật và quản trị web trên khắp thế giới chạy đua để vá hệ thống trước khi bị khai thác. Lỗ hổng ảnh hưởng đến mọi bản cài PHP phục vụ các yêu cầu web, kể từ phiên bản 5 ra mắt năm 2004.

Giới chuyên gia cảnh báo rằng việc không vá khẩn cấp có thể dẫn đến hậu quả thảm khốc, thậm chí là các loại mã độc có khả năng lây lan như sâu máy tính trên quy mô lớn.

Lỗ hổng ảnh hưởng đến toàn bộ hệ sinh thái web

PHP Foundation đã công bố hai lỗ hổng mang mã CVE-2026-109618 và CVE-2026-109619, tác động đến "tất cả các bản cài đặt PHP đang phục vụ yêu cầu web". Tuy nhiên, chỉ các phiên bản PHP 8.2 trở lên vẫn được hỗ trợ và nhận bản vá chính thức. Một số bản phân phối và nhà cung cấp bên thứ ba vẫn tiếp tục phát hành bản vá cho các phiên bản cũ hơn.

Điều đáng lo ngại là những lớp hạ tầng web nền tảng như PHP thường bị lãng quên và không được cập nhật trong các hệ thống cũ kỹ của Internet.

"Không có biện pháp giảm thiểu hoàn chỉnh nào. Cập nhật là lựa chọn an toàn duy nhất."

— PHP Foundation viết trong khuyến cáo bảo mật của mình.

Mức độ ảnh hưởng khổng lồ

Từ khi ra đời vào thập niên 1990, PHP đã trở thành ngôn ngữ kịch bản thiết yếu cho phát triển web và được sử dụng rộng khắp. Từ các hệ thống xuất bản nội dung như WordPress và Drupal cho đến các nền tảng thương mại điện tử như Magento của Adobe — tất cả đều được xây dựng trên PHP.

Chuyên gia bảo mật độc lập Lukasz Olejnik (King's College London) ví mức độ phổ biến của PHP như một dạng hạ tầng trọng yếu:

• "Tác động là vô cùng lớn", ông nhận định, với hàng triệu hệ thống có thể bị ảnh hưởng.
• Kịch bản tồi tệ nhất là mã độc có khả năng lây lan như sâu máy tính, tấn công vào một phần lớn của Internet.

Bản chất kỹ thuật của lỗ hổng

Các nhà nghiên cứu của Wiz (công ty thuộc sở hữu của Google) cho biết họ phát hiện ra lỗ hổng một phần nhờ sử dụng công cụ AI. Cùng lúc đó, OpenAI và công ty bảo mật Calif cũng tuyên bố độc lập phát hiện vấn đề và đã phối hợp cùng nhau.

Wiz đặt tên cho bản demo khai thác là php2shell, mô tả rằng trong nhiều trường hợp, lỗ hổng có thể bị khai thác "khá dễ dàng":

"Các lỗ hổng cho phép kẻ tấn công chưa được xác thực thực thi mã trên máy chủ bị ảnh hưởng hoặc đọc bộ nhớ tiến trình nhạy cảm. Bộ nhớ đó có thể chứa mật khẩu, token xác thực, khóa API và chứng chỉ của các yêu cầu khác hoặc của chính máy chủ."

Chuyên gia tư vấn bảo mật lâu năm Davi Ottenheimer giải thích một cách dễ hiểu:

"Phần lớn web vận hành trên PHP, và lỗi này nằm ở giao diện tải tệp lên — giống như một cánh cửa trước không có khóa. Kẻ tấn công không cần biết họ đang tấn công trang web nào hay phần mềm nào. Họ chỉ cần gửi một tệp tải lên được chế tạo đặc biệt đến bất kỳ máy chủ nào tìm thấy, và thế là xong."

Cuộc đua vá lỗi trước khi bị khai thác

Nỗi lo lớn nhất là tin tặc có thể nhanh chóng lợi dụng lỗ hổng trước khi chúng được vá. Công ty hạ tầng Internet Cloudflare cho biết đã "thấy các cuộc tấn công sớm xuất hiện" ngay cả trước khi PHP Foundation công bố chi tiết và phát hành bản vá.

"Chúng tôi kỳ vọng các cuộc tấn công hàng loạt sẽ bắt đầu trong vòng 15 phút sau khi phát hành."

— Công ty bảo mật Sansec cảnh báo trước thời điểm bản vá được tung ra.

Trước khi các phiên bản PHP cập nhật sẵn sàng, một số tổ chức đã chủ động đưa website của mình xuống để phòng ngừa:

• Nhiều trang web của chính phủ Phần Lan, bao gồm Cục Đo đạc Đất đai Quốc gia, không thể truy cập.
• Các trang web của chính phủ Pháp và cảng Rotterdam cũng bị ngừng hoạt động, theo Reuters.

"Mọi người nên vá ngay lập tức, việc khai thác có thể diễn ra rất nhanh và ở quy mô lớn. AI khiến việc khai thác các lỗ hổng như thế này trở nên cấp bách tức thì — chỉ trong khoảng một phút."

— Lukasz Olejnik nhấn mạnh.

Cảnh báo trước và phản ứng toàn cầu

Thông tin chi tiết về lỗ hổng lần đầu xuất hiện từ đội ngũ bảo trì PHP vào ngày 20 tháng 10. Trong một bài đăng ngắn trên trang web PHP, PHP Foundation cho biết họ đưa ra "thông báo trước" về các lỗ hổng và bản vá sắp ra mắt.

Cả hai lỗ hổng đều được đánh giá 9,2/10 điểm theo Hệ thống Điểm số Lỗ hổng Phổ biến (CVSS) — mức "nghiêm trọng".

Các cơ quan an ninh mạng trên khắp thế giới đã phát đi cảnh báo:

• EU-CERT của Liên minh châu Âu và cơ quan an ninh mạng Australia kêu gọi các đội IT chuẩn bị cập nhật hệ thống càng sớm càng tốt.
• Trung tâm An ninh mạng Quốc gia Anh (NCSC) khuyến cáo các tổ chức "chuẩn bị cập nhật hệ thống ngay lập tức" và "nếu không thể khắc phục ngay, nên cân nhắc đưa hệ thống xuống cho đến khi được giảm thiểu hoàn toàn".
• NCSC cũng khuyến nghị xác định tất cả hệ thống chạy PHP trong hạ tầng công nghệ, đặc biệt tập trung vào các hệ thống kết nối Internet và giám sát chúng để phát hiện dấu hiệu bị khai thác.

Lời khuyên từ FBI

Brett Leatherman, Phó giám đốc phụ trách mảng an ninh mạng của FBI, đưa ra hướng dẫn xử lý khi phát hiện dấu hiệu bị xâm nhập:

"Nếu bạn phát hiện dấu hiệu bị xâm phạm, hãy cô lập hệ thống, bảo toàn nhật ký máy chủ web và nhật ký PHP, rồi báo cáo cho văn phòng FBI địa phương. Những báo cáo đó giúp chúng tôi xác định các tác nhân liên quan và cảnh báo các tổ chức khác trước khi họ trở thành nạn nhân."

Ý nghĩa với người dùng và doanh nghiệp Việt Nam

Với hàng loạt website và hệ thống thương mại điện tử tại Việt Nam chạy trên WordPress, Laravel hay các nền tảng dựa trên PHP, đây là lời cảnh tỉnh trực tiếp. Các doanh nghiệp và đơn vị vận hành website cần:

• Kiểm tra ngay phiên bản PHP đang chạy trên máy chủ.
• Nâng cấp lên PHP 8.2 trở lên và áp dụng bản vá mới nhất ngay khi có.
• Rà soát các hệ thống cũ, ít được bảo trì — nơi PHP thường bị bỏ quên nhiều năm.
• Theo dõi nhật ký máy chủ để phát hiện các hành vi tải tệp lên bất thường.
• Cân nhắc tạm ngừng dịch vụ nếu chưa thể vá ngay, như nhiều chính phủ đã làm.

Thông điệp từ giới bảo mật là rõ ràng: đây không phải là một lỗi nhỏ cần xử lý vào lúc rảnh rỗi — mà là một cuộc chạy đua với thời gian, nơi mỗi phút chậm trễ đều có thể trở thành cơ hội cho kẻ tấn công.