Lỗ hổng PHP nghiêm trọng có thể khiến hàng loạt website sập trong hôm nay

Hai lỗ hổng nghiêm trọng trong PHP — ngôn ngữ lập trình được dùng rộng rãi để xây dựng website và ứng dụng web — dự kiến sẽ được vá trong hôm nay. Nếu không được xử lý kịp thời, các lỗ hổng này có thể gây ra những hậu quả khó lường trên phạm vi toàn internet.

Minh họa về an ninh mạng và lỗ hổng phần mềm

Mức độ nghiêm trọng lên tới 9.2/10

Trong khuyến cáo công bố hôm thứ Ba, các nhà phát triển PHP cho biết hai lỗ hổng này có điểm nghiêm trọng 9.2 trên thang 10. Một số cơ quan an ninh mạng thậm chí khuyến nghị các website tạm thời ngắt hệ thống nếu chưa thể áp dụng bản vá ngay lập tức.

Bản vá dự kiến phát hành lúc 10 giờ sáng theo giờ miền Đông nước Mỹ (ET), tương đương khoảng 21 giờ tối theo giờ Việt Nam. Tuy nhiên, nhóm phát triển cho biết có thể phát hành sớm hơn nếu thông tin chi tiết về lỗ hổng bị công khai hoặc xuất hiện bằng chứng về việc khai thác đang diễn ra. Người dùng PHP được khuyến cáo cập nhật ngay khi bản phát hành có sẵn.

Lỗ hổng thực thi mã từ xa, ảnh hưởng mọi phiên bản từ PHP 5

Theo công ty an ninh mạng watchTowr, đây là các lỗ hổng thực thi mã từ xa (Remote Code Execution) và ảnh hưởng tới mọi phiên bản PHP từ PHP 5 trở đi. Kẻ tấn công có thể chạy mã của riêng chúng trên máy chủ bị ảnh hưởng, từ đó sửa đổi website một cách độc hại, đánh cắp dữ liệu và nhiều hành vi nguy hiểm khác.

Phạm vi ảnh hưởng có thể rất lớn. Một nhà nghiên cứu bảo mật ước tính hơn 1,3 triệu máy chủ kết nối internet có khả năng bị ảnh hưởng.

Wordfence, đơn vị cung cấp plugin bảo mật cho WordPress, cảnh báo rằng mọi website WordPress đều có nguy cơ vì tất cả đều chạy trên máy chủ sử dụng PHP.

Điều này đặc biệt đáng lo ngại khi WordPress từng báo cáo rằng nền tảng này vận hành hơn 40% internet. Đáng chú ý, bản vá không thể cài đặt qua cập nhật tự động, nên chủ website cần xác định ai là người chịu trách nhiệm cập nhật PHP để áp dụng bản vá thủ công.

Cơ quan chức năng châu Âu và Anh lên tiếng

Cả Nhóm Ứng cứu Sự cố Máy tính Liên minh châu Âu (CERT-EU) và Trung tâm An ninh Mạng Quốc gia Anh (NCSC) đều đã phát đi khuyến cáo, đề nghị các doanh nghiệp chưa thể vá ngay lập tức cần cô lập các ứng dụng hướng ra internet hoặc tạm ngắt hoàn toàn cho đến khi lỗ hổng được khắc phục triệt để.

Nhà phát triển hệ điều hành di động GrapheneOS cho biết đã tạm thời đưa diễn đàn thảo luận của người dùng offline, bởi các mã khai thác thử nghiệm (proof of concept) đang được phát triển và họ "không muốn chấp nhận rủi ro".

Theo nhà phát triển PHP Gina Peter Banyard, việc vá lỗi là biện pháp giảm thiểu duy nhất; nếu không, tắt máy chủ "có thể là việc làm hợp lý nhất".

Cảnh báo về nguy cơ tấn công hàng loạt sau khi bản vá phát hành

Tấn công có thể nổ ra chỉ 15 phút sau khi vá

Nhiều tổ chức an ninh mạng đã kêu gọi quản trị viên PHP chuẩn bị sẵn sàng. Các nhà nghiên cứu về mối đe dọa tại Sansec dự đoán sẽ có "các cuộc tấn công hàng loạt trong vòng 15 phút sau khi bản phát hành ra mắt".

Điều đó không có nghĩa là kẻ tấn công đang ngồi chờ. Giám đốc công nghệ của Cloudflare, Dane Knecht, cho biết "chúng tôi đang chứng kiến những cuộc tấn công sớm xuất hiện" nhắm vào các trang PHP trên nền tảng này, và Cloudflare đang tạm thời cập nhật các quy tắc tường lửa như một biện pháp tình thế cho đến khi có bản vá.

Lời khuyên cho người dùng và doanh nghiệp tại Việt Nam

Với các tổ chức, doanh nghiệp và cá nhân vận hành website tại Việt Nam — đặc biệt là các trang dùng WordPress, các hệ thống thương mại điện tử và cổng thông tin — đây là thời điểm cần hành động ngay:

• Xác định phiên bản PHP đang chạy và người chịu trách nhiệm cập nhật (nhà cung cấp hosting hoặc đội kỹ thuật nội bộ).
• Theo dõi kênh phát hành chính thức của PHP để tải bản vá ngay khi có.
• Nếu chưa thể vá kịp, cân nhắc cô lập hoặc tạm ngắt các ứng dụng hướng ra internet.
• Sao lưu dữ liệu và kiểm tra log hệ thống để phát hiện dấu hiệu bất thường.

Đây không phải sự cố có thể trì hoãn. Với điểm nghiêm trọng 9.2 và phạm vi ảnh hưởng hơn 1,3 triệu máy chủ, việc cập nhật bản vá càng sớm càng giảm thiểu rủi ro bị khai thác.