Lỗ hổng nghiêm trọng trong PHP khiến hàng loạt trang web lớn sập trên toàn cầu

Hai lỗ hổng bảo mật nghiêm trọng trong ngôn ngữ lập trình PHP vừa được phát hiện, gây ra sự cố trên diện rộng đối với nhiều trang web lớn nhỏ trên khắp thế giới trong ngày hôm nay. Sự việc cho thấy những lỗ hổng tưởng chừng vô hại có thể trở thành mối đe dọa toàn cầu khi được AI hỗ trợ khai thác.

Máy chủ và trung tâm dữ liệu - nơi vận hành phần lớn các website dùng PHP

Chuyện gì đã xảy ra?

Theo thông tin từ giới bảo mật, hai lỗ hổng mang tên PHP2Shell được phát hiện với sự trợ giúp của các mô hình AI. Chúng nằm trong chính ngôn ngữ PHP — nền tảng vận hành phần lớn Internet hiện nay, bao gồm mọi trang web xây dựng trên WordPress.

Sự cố ảnh hưởng tới hàng loạt cái tên quen thuộc như 4chan, DeviantArt, Wikipedia và vô số blog cá nhân. Không chỉ dừng ở đó, một số cơ quan chính phủ tại Hà Lan và Phần Lan đã phải tạm đưa website của mình xuống như một biện pháp phòng ngừa.

Đáng chú ý, tài khoản an ninh mạng của NSA trên X và Trung tâm An ninh mạng Quốc gia Anh (NCSC) đều khuyến cáo các tổ chức nên ngắt hệ thống khỏi Internet nếu "không thể cập nhật ngay lập tức". Thậm chí các dịch vụ trò chơi như Pokémon Home và Pokémon Champions cũng phải tạm đóng cửa.

"Lỗ hổng này đã tồn tại trong PHP khoảng 20 năm, nhưng việc khai thác nó đòi hỏi một chuỗi bước cực kỳ phức tạp, gần như nằm ở giới hạn mà các nhà nghiên cứu con người có thể thực hiện được", công ty an ninh mạng Wiz cho biết.

Vì sao lỗ hổng cũ bỗng trở nên nguy hiểm?

Điểm mấu chốt nằm ở sự xuất hiện của các mô hình AI mạnh mẽ. Những gì trước đây là chuỗi khai thác quá phức tạp đối với con người nay có thể được AI phân tích và "biến" thành công cụ tấn công thực sự.

Theo OpenAI, một nhóm nghiên cứu an ninh có tên Calif đã xác định được lỗ hổng nghiêm trọng trong PHP bằng mô hình GPT-5.6 Sol. Trong khi đó, Wiz (thuộc sở hữu của Google) cũng độc lập phát hiện và báo cáo lỗ hổng này nhờ AI.

Quỹ PHP (PHP Foundation) cho biết một kịch bản khai thác đã được "đặt giả thuyết" từ năm 2024, nhưng khi đó chưa tìm ra phương thức cụ thể, và các vấn đề rõ ràng hơn đã lấn át mối lo này.

Hai lỗ hổng nguy hiểm

PHP Group xác nhận tin tặc có thể lợi dụng hai lỗ hổng để thực hiện hành vi thực thi mã từ xa không cần xác thực (RCE): chạy mã của riêng chúng, thay đổi nội dung, và truy cập dữ liệu lưu trữ của website mà không cần đăng nhập quản trị hay mật khẩu.

• RCE thông qua lỗi xử lý hết bộ nhớ (CVE-2026-109618): việc xử lý tràn bộ nhớ có thể ngắt PHP khi dữ liệu nội bộ của yêu cầu mới được khởi tạo một phần. Quá trình dọn dẹp sau đó có thể coi dữ liệu không hợp lệ là hợp lệ.

• RCE thông qua trạng thái toàn cục cũ (CVE-2026-109619): trạng thái nội bộ thuộc sở hữu của một yêu cầu có thể vẫn tồn tại sau khi bộ nhớ nền đã được giải phóng. Yêu cầu tiếp theo do cùng worker xử lý có thể dùng trạng thái cũ này trước khi quá trình khởi tạo bình thường đặt lại nó.

Mức độ nghiêm trọng tới đâu?

Rất nghiêm trọng. PHP Group cho biết gần như mọi trang web chạy PHP đều có nguy cơ. OpenAI — đơn vị tham gia nghiên cứu lỗ hổng — nhận định đây là "một trong những vấn đề bảo mật có tác động lớn nhất trong thời gian gần đây".

Wiz còn đi xa hơn khi gọi đây là "một trong những lỗ hổng nghiêm trọng nhất từng được phát hiện trong lịch sử phần mềm". Đêm qua, CTO của Cloudflare cũng cho biết đang "thấy các đợt tấn công sớm xuất hiện".

Hậu quả có thể rất khó lường: kẻ tấn công có thể kiểm soát toàn bộ máy chủ, bao gồm truy cập mật khẩu, khóa API, chứng chỉ mã hóa và cơ sở dữ liệu chứa thông tin nhạy cảm. Chúng cũng có thể thực thi mã trên máy chủ đó, biến nó thành bàn đạp để tấn công các máy chủ dễ tổn thương khác — và nhờ AI, việc khai thác nay trở nên tương đối dễ dàng.

Người dùng và chủ website nên làm gì?

Với người dùng thông thường, không có nhiều việc để làm. Lỗ hổng tác động lên máy chủ chạy PHP hơn là nhắm trực tiếp vào người dùng. Tuy vậy, các trang bị xâm nhập có thể bị lợi dụng để phát tán mã độc và đánh cắp dữ liệu. Nếu muốn cẩn trọng, hãy theo dõi tài khoản mạng xã hội của các dịch vụ mình hay dùng để xem có thông báo cập nhật gì không.

Với chủ website, kể cả blog đơn giản, đây là lúc kiểm tra phiên bản PHP mà trang đang dùng:

• Nếu dùng nền tảng như Squarespace hoặc Wix, bạn an toàn vì các nền tảng này không hỗ trợ PHP.

• Khách hàng của các dịch vụ hosting như Hostinger, GoDaddy, Bluehost cần đặc biệt thận trọng. GoDaddy khuyến cáo mọi trang dùng PHP nên giả định mình bị ảnh hưởng và nâng cấp lên bản phát hành đã vá càng sớm càng tốt.

• Các site chạy PHP 8.1 hoặc cũ hơn nên nâng cấp lên phiên bản mới, vì bản cũ không còn được hỗ trợ và sẽ không có bản vá chính thức.

• Người dùng dịch vụ hosting được quản lý (managed hosting) nên liên hệ nhà cung cấp để biết thời điểm bản vá được triển khai.

Nếu bạn bán sản phẩm, dịch vụ hoặc lưu bất kỳ dữ liệu nhạy cảm nào trên máy chủ, cách an toàn nhất là tạm ngưng website cho tới khi nhà cung cấp vá xong PHP.

Sự cố này là lời cảnh tỉnh cho cả cộng đồng công nghệ: khi AI giúp con người phát hiện lỗ hổng nhanh hơn, thì tốc độ vá lỗi và ứng phó của các tổ chức cũng cần theo kịp — nếu không, những lỗ hổng "ngủ quên" hàng chục năm có thể bùng phát chỉ trong một đêm.

Với các nhà phát triển và quản trị viên hệ thống tại Việt Nam, đây là dịp rà soát lại hạ tầng: kiểm tra phiên bản PHP trên máy chủ, sao lưu dữ liệu quan trọng và lên kế hoạch nâng cấp trước khi đợt tấn công tiếp theo ập đến.