Lỗ hổng có thể trao quyền kiểm soát máy chủ cho tin tặc
Lỗ hổng PHP là điểm yếu trong mã nguồn của ngôn ngữ lập trình được dùng để vận hành nhiều website, có thể cho phép kẻ tấn công xâm nhập máy chủ nếu hệ thống chưa được cập nhật. Hai lỗ hổng nghiêm trọng được phát hiện có thể giúp tin tặc kiểm soát máy chủ từ xa mà không cần mật khẩu, rồi đánh cắp hoặc sửa đổi dữ liệu, thậm chí dùng máy chủ làm bàn đạp cho những cuộc tấn công khác.
Mức độ nguy hiểm đến từ độ phổ biến của PHP và tuổi đời của những hệ thống còn phụ thuộc vào các phiên bản cũ. Khoảng 70% website và ứng dụng toàn cầu đang vận hành bằng PHP. Theo dữ liệu của Censys, khoảng 1,5 triệu máy chủ vẫn dùng phiên bản chưa có bản vá. Đây không phải lỗi chỉ ảnh hưởng một nhóm website riêng lẻ: nền tảng cũ có thể nằm sâu trong hệ thống của cơ quan công quyền, doanh nghiệp và dịch vụ trực tuyến.
Vì vậy, việc tạm ngắt một website chính phủ hay cổng dịch vụ công để cập nhật không phải phản ứng thái quá. Khi chưa thể xác định máy chủ đã được bảo vệ hay chưa, duy trì dịch vụ trực tuyến có thể đồng nghĩa với việc để ngỏ đường vào dữ liệu nhạy cảm.
Tạm dừng dịch vụ là lựa chọn phòng thủ có chủ đích
Nhiều quốc gia đã chọn giảm bề mặt tấn công trước khi khôi phục đầy đủ dịch vụ. Tại Hà Lan, một số cổng thông tin thiết yếu, trong đó có cổng dịch vụ công Overheid.nl, mạng lưới định danh số và website của cơ quan an ninh mạng quốc gia, tạm ngừng hoạt động để bảo đảm an toàn. Anh cũng đưa một số dịch vụ công thứ cấp về trạng thái ngoại tuyến; Pháp hạn chế truy cập một số cấu phần của hệ thống thuế điện tử, còn Phần Lan tạm ngắt kết nối các mạng công cộng.
Cách ứng phó này gây bất tiện cho người dân, nhưng hợp lý khi bản vá chưa thể triển khai ngay. Cơ quan An ninh Quốc gia Mỹ khuyến nghị các đơn vị chưa cập nhật được cân nhắc ngắt hệ thống khỏi Internet để hạn chế nguy cơ truy cập trái phép vào cơ sở dữ liệu. Tạm dừng có kiểm soát tốt hơn việc để dịch vụ hoạt động bình thường trong khi chưa biết máy chủ có thể bị chiếm quyền hay không.
PHP Foundation phát hành bản vá và hướng dẫn cập nhật vào tối 21-10. Đây là bước cần thiết, nhưng không phải dấu hiệu cho thấy sự cố đã kết thúc. Phần Lan đã xử lý gián đoạn website nhưng vẫn cần khôi phục một số nội dung còn thiếu.
Website hoạt động lại không đồng nghĩa đã an toàn
Rủi ro lớn nhất sau khi dịch vụ trở lại là nhầm lẫn giữa khôi phục khả năng truy cập với xử lý triệt để sự cố. Amazon ghi nhận dấu hiệu tìm cách khai thác từ ngày 17-10, trước thời điểm bản vá được phát hành, và chưa xác định các lượt đó có xâm nhập thành công hệ thống thực tế hay không. Vì thế, các tổ chức cần rà soát dấu hiệu bị xâm nhập từ ít nhất ngày này, thay vì chỉ cài bản vá rồi coi như xong.
Nguy cơ còn tăng khi thông tin kỹ thuật về lỗi đã lan truyền: tin tặc có thể phân tích bản vá để tìm những hệ thống chưa cập nhật. Các lượt truy vấn đáng ngờ tăng nhanh sau khi thông tin được công bố, và Amazon xác nhận lỗ hổng đang bị khai thác trên diện rộng trong không gian mạng.
Với đơn vị vận hành, ưu tiên phải là nâng cấp PHP lên phiên bản đã khắc phục đầy đủ cả hai lỗ hổng; thay đổi cấu hình chỉ giảm được một phần nguy cơ. Tiếp đó là kiểm tra nhật ký, tìm dấu hiệu cửa hậu hoặc truy cập trái phép, rồi mới khôi phục các dịch vụ quan trọng theo từng giai đoạn. Nếu chưa thể vá ngay, cô lập máy chủ khỏi Internet là biện pháp giảm rủi ro cần cân nhắc.
Đợt vá khẩn cấp chỉ mở đầu cho quá trình nhiều năm
Bản vá có thể được phát hành trong một ngày, nhưng nâng cấp toàn bộ hệ thống phụ thuộc PHP lại là công việc dài hạn. Nhiều máy chủ dùng các phiên bản đã tồn tại hàng chục năm; chúng có thể gắn với ứng dụng cũ, quy trình riêng và những thành phần không thể cập nhật đồng loạt. Đó là lý do khắc phục không dừng ở thao tác cài đặt: từng hệ thống còn sót lại phải được nhận diện, kiểm tra khả năng tương thích và xử lý an toàn.
Theo ông van der Walt, hoạt động khắc phục sẽ tập trung mạnh trong vài tuần, nhưng cập nhật toàn bộ hệ thống còn tồn đọng có thể mất nhiều tháng, thậm chí nhiều năm. Khoảng thời gian ấy tạo ra một cửa sổ rủi ro kéo dài, nhất là khi công cụ tự động có thể rà quét hàng loạt máy chủ dễ bị tổn thương.
Bài học không chỉ là cần vá nhanh hơn. Cơ quan công quyền và nhà cung cấp dịch vụ phải biết mình đang chạy phiên bản PHP nào, có thể cô lập thành phần lỗi ra sao và phát hiện xâm nhập bằng cách nào. Khi dịch vụ trực tuyến trở thành hạ tầng thiết yếu, duy trì danh mục hệ thống cập nhật và kế hoạch ứng phó rõ ràng quan trọng không kém bản vá bảo mật. Nhiều website đã trở lại, nhưng an toàn chỉ được xác lập sau khi cả máy chủ cũ lẫn dấu vết xâm nhập đều được xử lý.
