Sự cố PHP hé lộ cách AI khiến lỗ hổng cũ trở nên nguy hiểm hơn

Tuần qua, giới bảo mật và quản trị viên web đã chạy đua để vá các lỗ hổng PHP vừa được công bố. Trong khi đó, tin tặc nhanh chóng tìm cách khai thác các lỗ hổng này ngoài thực tế. Chỉ trong vài giờ sau khi thông tin được công khai, hàng triệu nỗ lực khai thác đã xuất hiện, theo phân tích từ Cloudflare.

Bối cảnh: Lỗ hổng cũ, nguy cơ mới

Nhóm lỗ hổng mang tên PHP2Shell không phải là phát hiện hoàn toàn mới. Một số vấn đề gốc đã được ghi nhận từ năm 2024, nhưng khi đó bị đánh giá là quá phức tạp để khai thác trong thực tế.

Điểm mấu chốt nằm ở chỗ: các mô hình AI tiên tiến đã giúp các nhà nghiên cứu tìm ra cách khai thác thực tế cho những lỗ hổng tưởng chừng "vô hại" này. Nói cách khác, AI đã biến một lỗ hổng lịch sử thành khủng hoảng hiện tại.

"Lỗ hổng đã được nhóm PHP biết đến từ nhiều năm, nhưng vì không thể bị khai thác — ít nhất là bởi con người — nên nó không được xử lý", Sagi Tzadik, nhà nghiên cứu tại Wiz, cho biết.

Các nhà nghiên cứu của công ty bảo mật Calif là những người đầu tiên xác định lỗ hổng PHP2Shell và xây dựng kịch bản khai thác vào đầu tháng 8. Họ kết hợp các công cụ AI hàng đầu trong chương trình Patch the Planet của OpenAI với kiến thức chuyên sâu về PHP. Sau đó, các nhóm tại OpenAI và Wiz cũng độc lập phát hiện ra các lỗ hổng này bằng công cụ AI.

Bức tranh toàn cảnh: AI khuếch đại rủi ro

Dù vậy, kịch bản tồi tệ nhất là các cuộc tấn công hàng loạt chiếm quyền hệ thống vẫn chưa xảy ra. Quỹ PHP cho biết chưa ghi nhận trường hợp khai thác thành công nào, và nhiều mã khai thác đang lan truyền công khai có vẻ không hiệu quả.

Tuy nhiên, sự việc phản ánh một xu hướng đáng lo ngại hơn:

• Tốc độ khai thác tăng vọt: Kẻ tấn công có thể dùng AI để phân tích và tấn công nhanh hơn bao giờ hết.
• Áp lực lên đội ngũ IT: Chỉ riêng bản cập nhật bảo mật của Microsoft tháng này đã bao gồm kỷ lục 1.453 lỗ hổng.
• Chi phí khắc phục: Bank of America gần đây đã thuê 1.000 chuyên gia tư vấn để sửa các lỗ hổng do AI của Anthropic phát hiện.

"Chúng ta chắc chắn sẽ thấy nhiều lỗ hổng tồn tại lâu năm hơn, có mặt trong mọi phiên bản phần mềm suốt cả thập kỷ", Jake Williams, cựu tin tặc NSA, nhận định. "Nhưng tôi nghĩ loại 'quả ngọt dễ hái' này chỉ có giới hạn. Không nhiều công cụ có độ phủ như PHP — nó là một bề mặt tấn công thực sự rộng."

Chưa cần hoảng loạn

Các nhà nghiên cứu nhấn mạnh rằng AI không làm điều gì hoàn toàn mới, mà chủ yếu khuếch đại các động lực vốn có trong việc phát hiện và công bố lỗ hổng.

Ngay cả với các mô hình tiên tiến nhất, hầu hết các ví dụ về tấn công có sự hỗ trợ của AI vẫn cần đến chuyên môn con người. Ryan Austin, nhà nghiên cứu của Calif và là người đầu tiên phát hiện lỗi PHP, viết:

"Không mô hình nào có thể đơn giản 'đào ra tất cả lỗ hổng' chỉ bằng vài câu lệnh. Ít nhất là cho đến hiện tại."

Kỹ sư bảo mật Niels Provos cũng cho rằng mọi người có thể bớt lo lắng:

"Thành thật mà nói, tôi không thực sự lo lắng. Người ta đã dùng AI để tìm kiếm hơn một năm nay, và cần cả một đội ngũ có tay nghề cao mới tìm ra lỗ hổng này. Có thể tôi sẽ sai hoàn toàn, nhưng tôi không nghĩ vậy."

Ý nghĩa với doanh nghiệp và lập trình viên Việt Nam

Với các doanh nghiệp và lập trình viên Việt Nam — nơi PHP vẫn được dùng rộng rãi trong các hệ thống website, thương mại điện tử và ứng dụng nội bộ — sự việc này là lời nhắc nhở quan trọng:

• Ưu tiên cập nhật bản vá cho các hệ thống PHP đang vận hành, đặc biệt là các dịch vụ công khai trên internet.
• Không chủ quan với lỗ hổng "cũ": những lỗi từng bị coi là khó khai thác có thể trở thành mối đe dọa chỉ sau một đêm nhờ AI.
• Cân nhắc ứng dụng AI trong kiểm thử bảo mật, nhưng cần đội ngũ có chuyên môn để đánh giá và xử lý kết quả.

Bài học lớn nhất từ sự cố này: AI không tạo ra lỗ hổng mới, nhưng nó rút ngắn khoảng cách giữa phát hiện và khai thác — và điều đó đòi hỏi cả người phòng thủ lẫn kẻ tấn công phải thay đổi cách chơi.