Lỗ hổng nghiêm trọng, phạm vi ảnh hưởng rộng
Lỗ hổng PHP là điểm yếu trong ngôn ngữ lập trình phía máy chủ, có thể cho phép kẻ tấn công thực thi mã từ xa và chiếm quyền kiểm soát hệ thống nếu máy chủ chưa được bảo vệ. Cụm PHP2Shell gồm hai lỗ hổng nghiêm trọng, được phát hiện trong nền tảng đang vận hành khoảng 70% website toàn cầu. Đây không phải rủi ro chỉ giới hạn ở một loại website: các dịch vụ dựa trên PHP, kể cả hệ thống cũ và phần mềm phụ thuộc của bên thứ ba, đều cần được rà soát. Đáng lo hơn, nghiên cứu ban đầu cho thấy các lỗ hổng thực thi mã từ xa đã tồn tại hơn một thập kỷ. Quy mô đó khiến việc cập nhật không thể bị xem như một công việc bảo trì thông thường; đây là ứng phó khẩn cấp nhằm ngăn kẻ xấu biến máy chủ thành bàn đạp xâm nhập.
Nếu bị khai thác, điểm yếu có thể dẫn đến đánh cắp dữ liệu nhạy cảm, gián đoạn dịch vụ và xâm nhập sâu hơn vào mạng nội bộ. Với một nền tảng phổ biến đến vậy, trì hoãn vá lỗi đồng nghĩa để lại nhiều cửa ngõ tiềm tàng cho tấn công website.
Hàng triệu lượt dò quét đẩy rủi ro thành khẩn cấp
Sau khi sự cố được công khai, các website trên toàn cầu hứng chịu hàng triệu nỗ lực dò quét tự động nhằm tìm hệ thống có thể khai thác. Cloudflare ghi nhận hàng chục nghìn lượt thử trong 45 phút đầu tiên, trước khi tổng số truy vấn độc hại tăng lên hàng triệu. Những con số ấy cho thấy kẻ tấn công có thể bắt đầu rà tìm mục tiêu gần như ngay lập tức, dù chưa đồng nghĩa mọi nỗ lực đều thành công.
Cơ quan An ninh Quốc gia Mỹ cảnh báo tin tặc có thể chiếm máy chủ, lấy dữ liệu và mở rộng xâm nhập vào mạng nội bộ. Tuy vậy, chuyên gia tham gia phát hiện lỗ hổng cho biết hoạt động khai thác sâu vào hệ thống mục tiêu chưa bùng phát trên diện rộng. Đây là khoảng thời gian để phòng thủ, không phải lý do để chờ đợi: dò quét đã diễn ra trên diện rộng, còn hệ thống chưa vá vẫn phơi bày trước nguy cơ.
Ngắt dịch vụ để giảm nguy cơ xâm nhập
Một số chính phủ và doanh nghiệp chọn tạm ngắt dịch vụ trực tuyến khi chưa thể cài bản vá bảo mật kịp thời. Quyết định này gây bất tiện rõ rệt, nhưng trong tình huống máy chủ có thể bị chiếm quyền, duy trì hoạt động như bình thường có thể tạo ra thiệt hại lớn hơn. Tại Anh, 32 dịch vụ công tạm ngừng truy cập để cập nhật hệ thống; giới chức cho biết chưa có dịch vụ công trọng yếu nào bị xâm nhập trái phép.
Các cổng thông tin chính phủ ở châu Âu cũng tạm đóng cửa để khắc phục lỗ hổng. Internet Archive, Wikipedia và 4Chan ghi nhận gián đoạn tạm thời. Vì thế, website ngừng hoạt động trong đợt này không nhất thiết là dấu hiệu đã bị tấn công; đôi khi đó là biện pháp chủ động để cô lập hệ thống dễ tổn thương. Dù vậy, những tổ chức thiếu nhân lực an ninh mạng sẽ chịu áp lực lớn nhất: họ phải vừa duy trì dịch vụ thiết yếu, vừa kiểm tra và cập nhật hệ thống an toàn.
Việc cần làm ngay và bài học sau sự cố
- Nâng cấp lên phiên bản PHP an toàn mới nhất và cài bản vá chính thức; rà soát cả ứng dụng, thư viện và phần phụ thuộc của bên thứ ba.
- Nếu chưa thể vá ngay, cô lập hệ thống dễ bị tấn công hoặc tạm ngừng dịch vụ cho đến khi có thể xử lý an toàn.
- Tăng cường giám sát lưu lượng mạng, kiểm tra dấu hiệu truy cập bất thường và thay đổi mật khẩu cùng khóa bảo mật.
- Xác định máy chủ cũ không còn hỗ trợ bản vá; lập kế hoạch thay thế thay vì tiếp tục vận hành trong tình trạng phơi nhiễm.
Các bản sửa lỗi đang được triển khai, nhưng không phải hệ thống nào cũng có thể cài đặt: một số máy tính đời cũ buộc phải thay thế. Vì vậy, chỉ cập nhật PHP mà bỏ qua chuỗi phụ thuộc sẽ để sót điểm yếu. Sự cố cũng phơi bày cái giá của việc dựa vào thành phần mã nguồn mở cũ mà không có kế hoạch nâng cấp và kiểm kê tài sản phần mềm. Tổ chức nên xem việc vá lỗi, cô lập dịch vụ khi cần và kiểm tra sau cập nhật là một quy trình thống nhất, thay vì những phản ứng rời rạc.
