Lỗ hổng PHP2Shell khiến hàng loạt dịch vụ chính phủ Anh tê liệt

Sự cố bảo mật PHP2Shell đã buộc 32 dịch vụ của chính phủ Anh phải tạm ngừng hoạt động và khiến 4 dịch vụ khác chỉ còn vận hành được một phần, trong bối cảnh giới chức nước này đang gấp rút vá các lỗ hổng nghiêm trọng gây ảnh hưởng trên phạm vi toàn cầu.

Các con số trên được công bố tại Thượng viện Anh trong ngày thứ Năm, khi Bộ trưởng Công nghệ Nam tước Lloyd xứ Effra trình bày về mức độ gián đoạn sau khi phát hiện hai lỗ hổng nghiêm trọng trong PHP.

Dịch vụ nào đã bị ảnh hưởng?

"Hiện tại thông tin tôi có là 32 dịch vụ chính phủ không thể truy cập và 4 dịch vụ khôi phục được một phần," bà Lloyd nói với các nghị sĩ. "Điều này phần lớn xuất phát từ các biện pháp phòng ngừa nhằm bảo vệ hệ thống trong khi chờ cài đặt bản vá và áp dụng các biện pháp giảm thiểu."

Theo vị bộ trưởng, chính phủ đang phối hợp chặt chẽ với các bộ, ngành để khôi phục dịch vụ một cách an toàn sau quá trình khắc phục.

London chưa công bố danh sách đầy đủ các dịch vụ bị ảnh hưởng, song được biết Văn phòng Trách nhiệm Ngân sách (OBR) nằm trong số những đơn vị đã đưa trang web của mình xuống — điều này đặc biệt bất tiện khi lịch công bố ngân sách dự kiến diễn ra vào tuần tới. Các nghị sĩ cũng đề cập đến thông tin gián đoạn tại Cơ quan Cấp phép Lái xe (DVLA) và các đơn vị cảnh sát.

Không chỉ nước Anh

Anh không phải quốc gia duy nhất phải "ngắt điện" hệ thống. Các trang web chính phủ của Đức, Pháp, Bỉ, Phần Lan và Hà Lan cũng đã được đưa xuống để phòng ngừa, cùng với website của cơ quan an ninh mạng Australia.

Phía bên kia Đại Tây Dương, NSA đã kêu gọi các tổ chức vá hoặc ngắt kết nối những hệ thống bị ảnh hưởng, dù chính phủ Mỹ chưa công khai xác nhận việc đóng cửa website nào.

PHP2Shell nguy hiểm đến mức nào?

PHP2Shell bao gồm hai lỗ hổng nghiêm trọng, CVE-2026-109618 và CVE-2026-109619, cho phép kẻ tấn công chưa được xác thực thực thi mã độc trên các máy chủ bị ảnh hưởng. Trung tâm An ninh mạng Quốc gia Anh (NCSC) đã cảnh báo các tổ chức phải vá ngay hoặc cân nhắc đưa hệ thống bị ảnh hưởng ngừng hoạt động cho đến khi khắc phục xong.

"NCSC đã được OpenAI thông báo vào tuần trước về lỗ hổng cụ thể này và đã làm việc để bảo đảm việc công bố diễn ra có phối hợp với các nhà cung cấp, nhờ đó có đủ thời gian chuẩn bị để bảo vệ khách hàng," bà Lloyd cho biết.

Đáng chú ý, công cụ AI đóng vai trò trực tiếp trong việc phát hiện lỗ hổng. Hãng bảo mật Calif tìm ra một lỗi PHP nhờ mô hình GPT-5.6 Sol của OpenAI, trong khi Wiz của Google phát hiện độc lập cả hai lỗ hổng với sự hỗ trợ của các công cụ AI. Sau đó, OpenAI tự nghiên cứu sâu hơn và phối hợp với các nhà cung cấp cùng cơ quan chính phủ để lan tỏa thông tin.

Phản ứng của chính phủ và bài toán trách nhiệm

Chính phủ Anh đã thiết lập một cơ chế ứng phó sự cố liên bộ trước khi lỗ hổng được công bố công khai. NCSC cũng đã gửi 50.000 cảnh báo tới các doanh nghiệp và tổ chức.

Tuy nhiên, tác động đã lan ra ngoài phạm vi chính phủ trung ương. Nghị sĩ Nam tước Ludford thuộc đảng Dân chủ Tự do cho biết nhiều hội đồng địa phương cũng đã đưa dịch vụ xuống, trong đó có Edinburgh, Oxford, Bristol, Lambeth và Barnet.

Bà đặt câu hỏi vì sao chính phủ trung ương và chính quyền địa phương vẫn nằm ngoài các nghĩa vụ pháp định được đề xuất trong Dự luật An ninh mạng và Khả năng phục hồi — dự luật sẽ quay lại Thượng viện vào thứ Hai.

"Hiện chúng tôi chưa ghi nhận bất kỳ vụ xâm nhập nào được xác nhận vào hệ thống chính phủ trung ương do các lỗ hổng này gây ra," bà Lloyd khẳng định, sau đó mở rộng đánh giá này cho toàn bộ khu vực công của Anh.

Mối lo từ dữ liệu của các hãng đám mây

Trong khi đó, AWS cho biết kẻ tấn công đã khai thác các lỗ hổng này bốn ngày trước khi chúng được công bố, còn Cloudflare ghi nhận hàng triệu nỗ lực lợi dụng lỗ hổng.

Đối với độc giả Việt Nam, sự cố này là lời nhắc nhở đáng chú ý: PHP vẫn là nền tảng của một lượng lớn website và hệ thống nội bộ tại các cơ quan, doanh nghiệp trong nước. Việc theo dõi cảnh báo từ nhà cung cấp, áp dụng bản vá kịp thời và có phương án cách ly hệ thống khi cần thiết là những bước phòng vệ tối thiểu trước các lỗ hổng có thể bị khai thác tự động ở quy mô lớn như PHP2Shell.