Lỗ hổng PHP buộc các dịch vụ game phải đóng cửa
Lỗ hổng PHP là điểm yếu trong ngôn ngữ lập trình vận hành nhiều website, có thể cho phép kẻ tấn công thực thi mã từ xa, lấy cắp dữ liệu hoặc làm gián đoạn dịch vụ trực tuyến. Hai lỗi nghiêm trọng mới được công bố mang mã CVE-2026-109618 và CVE-2026-109619, được chấm 9,2/10 và có thể bị khai thác mà không cần xác thực. Ngày 21/10, Pokemon Sleep, Pokemon HOME, Pokemon Champions cùng một số trò chơi Nhật Bản lớn phải vào chế độ bảo trì khẩn cấp. Umamusume: Pretty Derby, Granblue Fantasy, Shadowverse: Worlds Beyond và Princess Connect! Re:Dive cũng chịu ảnh hưởng; thông báo của Umamusume xác nhận máy chủ trò chơi có lỗ hổng PHP. Việc Pokemon offline khiến người chơi không thể vào game hoặc tài khoản, trong khi một số dịch vụ chưa hẹn thời điểm hoạt động lại. Nintendo chưa xác nhận các dịch vụ trực tuyến Switch 1 và Switch 2 có liên quan trực tiếp đến lỗi này, nên không nên xem mọi đợt bảo trì là cùng một nguyên nhân.
Burger King rò rỉ dữ liệu: sự cố riêng, cảnh báo chung
Vụ Burger King rò rỉ dữ liệu tại Nhật Bản nghiêm trọng, nhưng các thông tin hiện có không xác nhận rằng vụ xâm nhập liên quan đến lỗ hổng PHP. Kẻ gian đã truy cập máy chủ thành viên trong khoảng thời gian từ ngày 2 đến ngày 7/10; sau cuộc điều tra, đơn vị vận hành cho biết 11,18 triệu bản ghi khách hàng có nguy cơ bị lộ. Dữ liệu bị truy cập gồm họ tên, ngày sinh, giới tính, email, số điện thoại, khu vực cư trú và dấu hiệu về lịch sử đặt hàng. Công ty cho biết máy chủ không lưu thông tin thẻ tín dụng và chưa tìm thấy bằng chứng mật khẩu bị đánh cắp. Dù vậy, những dữ liệu định danh ghép lại có thể tạo điều kiện cho lừa đảo nhắm mục tiêu. Burger King mở tổng đài riêng và khuyến cáo khách hàng cảnh giác với cuộc gọi, tin nhắn hay email giả danh thương hiệu. Bài học không dừng ở việc vá phần mềm: doanh nghiệp cần giới hạn dữ liệu thu thập, bảo vệ máy chủ và thông báo rõ ràng khi có sự cố.
Chính phủ các nước chuyển sang ứng phó khẩn cấp
Quy mô phản ứng cho thấy đây không còn là việc riêng của đội ngũ kỹ thuật từng doanh nghiệp. Tại Nhật Bản, Mitsubishi UFJ và Bộ Tài chính tạm dừng một số dịch vụ trực tuyến; giới chức kêu gọi tổ chức cập nhật phần mềm, thậm chí ngừng website nếu chưa thể vá lỗi. Hàn Quốc nâng cảnh báo khủng hoảng an ninh mạng lên mức “cảnh giác”, nấc thứ hai trong hệ thống bốn cấp, đồng thời gửi hướng dẫn bảo mật tới khoảng 28.000 doanh nghiệp. Trung Quốc yêu cầu rà soát hệ thống, nâng PHP lên phiên bản mới nhất, theo dõi truy cập bất thường và đổi tài khoản, mật khẩu cùng khóa bảo mật. Tại Nhật Bản, Nomura, Mitsubishi UFJ Financial Group, ANA, East Japan Railway cùng một số cơ quan nhà nước hạn chế hoặc tạm ngừng dịch vụ. Orange ở Pháp, Wikimedia Foundation và Internet Archive cũng phải xử lý rủi ro bằng cách giới hạn truy cập hoặc dừng một số hệ thống. An ninh mạng Nhật Bản và các nước láng giềng đang bị thử thách ở cả tốc độ phối hợp lẫn khả năng bảo vệ người dùng.
Có bản vá không đồng nghĩa khôi phục tức thì
Một phần nguyên nhân khiến cuộc khủng hoảng bảo mật lan nhanh là thông tin chi tiết về lỗ hổng bị công khai trước khi bản vá sẵn sàng, tạo thêm cơ hội cho tin tặc tìm cách khai thác. Cloudflare ghi nhận hoạt động tăng từ hàng nghìn lượt thử trong 10 giờ trước khi công bố lên hàng triệu lượt sau đó. Nhóm phát triển PHP đã phát hành bản sửa lỗi cho các phiên bản 8.2, 8.3, 8.4 và 8.5, đồng thời thúc giục quản trị viên cập nhật ngay. Nhưng cập nhật phần mềm chỉ là bước đầu: tổ chức còn phải kiểm tra hệ thống sau khi vá để tránh đưa dịch vụ trở lại khi chưa an toàn. Theo đơn vị cung cấp dịch vụ công nghệ thông tin của Chính phủ Phần Lan, việc khôi phục một số dịch vụ có thể mất vài ngày, thậm chí vài tuần. Vì vậy, tạm dừng dịch vụ gây bất tiện, nhưng có thể là lựa chọn có trách nhiệm hơn so với mở lại quá sớm. Doanh nghiệp cần giải thích rõ phạm vi ảnh hưởng và tiến độ xử lý, thay vì để khách hàng tự đoán.
