Lỗ hổng PHP nghiêm trọng bị khai thác trước khi bản vá được phát hành

Các lỗ hổng bảo mật nghiêm trọng trong PHP — ngôn ngữ lập trình vận hành phần lớn website trên toàn cầu, bao gồm cả các trang WordPress — đã bị tin tặc nhắm tới khai thác vài ngày trước khi bản vá được phát hành. Thông tin này được đưa ra trong báo cáo mới nhất của Amazon Threat Intelligence.

Minh họa về bảo mật và mã nguồn PHP

Kẻ tấn công ra tay trước khi bản vá xuất hiện

Theo CJ Moses, Giám đốc an ninh thông tin của Amazon, nhóm bảo mật của công ty đã phát hiện một nỗ lực khai thác mang tên PHP2Shell vào ngày 17/10 thông qua một hệ thống giám sát được thiết kế như "mồi nhử" (honeypot) để thu hút tin tặc.

Ông Moses viết: "Trong khi lỗ hổng vẫn đang trong giai đoạn cấm công bố, việc một địa chỉ IP ẩn danh nhắm vào honeypot cho thấy hoạt động này do một tác nhân đe dọa thực hiện, dù vẫn chưa rõ kẻ này lấy được thông tin khai thác bằng cách nào trước khi lỗ hổng được công bố."

Amazon Threat Intelligence cũng ghi nhận thêm nhiều nỗ lực khai thác khác vào ngày 21/10, chỉ vài giờ trước khi bản vá chính thức được tung ra.

Hai lỗ hổng có thể cho phép thực thi mã từ xa

Hai lỗ hổng nghiêm trọng mang mã CVE-2026-109618 và CVE-2026-109619 có thể cho phép kẻ tấn công thực thi mã độc từ xa trên các thiết bị bị ảnh hưởng. Điều này đặc biệt nguy hiểm bởi PHP là nền tảng của một lượng lớn website trên internet.

Bà Elizabeth Barron, Giám đốc điều hành Quỹ PHP, cho biết với The Verge rằng "theo hiểu biết của chúng tôi, chưa có nỗ lực thực thi mã từ xa nào thành công", nhưng nhấn mạnh việc cập nhật các hệ thống bị ảnh hưởng là điều bắt buộc.

Vì sao bản vá bị trì hoãn?

Quỹ PHP lần đầu phát hiện lỗi này vào năm 2024. Dù nhóm bảo mật đã đưa ra các giải pháp tiềm năng, việc sửa lỗi vẫn bị trì hoãn do "những thay đổi phá vỡ khả năng tương thích ngược, nguy cơ tấn công từ chối dịch vụ (DoS) mới, hoặc yêu cầu chỉnh sửa nhiều tiện ích mở rộng của bên thứ ba — điều gần như không thể phối hợp".

Trong lúc Quỹ PHP chuẩn bị phát hành bản sửa lỗi trong tuần này, thông tin chi tiết về lỗ hổng bắt đầu rò rỉ trên các diễn đàn và mạng xã hội. Một số công ty bảo mật thậm chí còn công bố thông tin trước cả bản phát hành chính thức.

"Chúng tôi tin rằng một lỗ hổng nghiêm trọng với bản vá gặp nhiều đánh đổi khó khăn sẽ sớm đến được ban lãnh đạo Quỹ PHP hơn, vì chúng tôi đang thay đổi quy trình để lãnh đạo có thể giúp định hướng tình hình đi đến giải pháp kịp thời", Quỹ PHP cho biết thêm.

Tổ chức này cũng khẳng định đang ưu tiên các biện pháp đảm bảo những lỗ hổng cần cách sửa phức tạp tương tự sẽ được xử lý nhanh hơn trong tương lai.

Bài học cho cộng đồng web toàn cầu

Sự cố này cho thấy một thực tế đáng lo ngại: ngay cả khi lỗ hổng còn đang trong giai đoạn bảo mật (embargo), thông tin vẫn có thể bị rò rỉ và bị khai thác trước khi cộng đồng kịp phòng thủ. Với các quản trị viên website tại Việt Nam — đặc biệt là những người vận hành hệ thống dùng WordPress, Drupal hay các nền tảng PHP khác — việc theo dõi các bản cập nhật bảo mật và vá lỗi ngay khi có bản phát hành chính thức là ưu tiên hàng đầu.

Các chuyên gia khuyến nghị doanh nghiệp nên rà soát phiên bản PHP đang sử dụng, lên kế hoạch nâng cấp khẩn cấp nếu hệ thống bị ảnh hưởng, đồng thời tăng cường giám sát các dấu hiệu bất thường trên máy chủ để phát hiện sớm mọi nỗ lực khai thác.