Hai lỗ hổng có thể mở đường vào máy chủ
Lỗ hổng PHP là lỗi trong mã nguồn của ngôn ngữ lập trình vận hành phần lớn website, có thể cho phép kẻ tấn công vượt qua bước đăng nhập và chiếm quyền điều khiển máy chủ từ xa. Hai lỗi được phát hiện gần đây đặc biệt đáng lo vì PHP đứng sau khoảng 70% website trên toàn cầu, gồm nhiều trang dùng WordPress, cửa hàng trực tuyến và dịch vụ công. Kẻ tấn công có thể chạy phần mềm độc hại trên máy chủ hoặc đánh cắp dữ liệu mà không cần tài khoản. Đây không phải nguy cơ chỉ giới hạn ở một loại thiết bị hay người dùng: bất kỳ website nào chạy phiên bản PHP bị ảnh hưởng đều cần được kiểm tra. Mức độ nghiêm trọng được chấm 9,2/10 theo thang CVSS, thuộc cấp nghiêm trọng. Vì vậy, việc xem đây là một cảnh báo bảo mật website diện rộng — thay vì một trục trặc kỹ thuật nhỏ — là cách đánh giá thận trọng và phù hợp.
Các lỗi được cho là đã nằm trong mã nguồn hơn mười năm trước khi được phát hiện. Công ty bảo mật Calypso cho biết đã tìm ra chúng bằng mô hình ngôn ngữ lớn; Wiz mô tả việc dùng công cụ nghiên cứu lỗ hổng tự động kết hợp các mô hình AI. AI an ninh mạng giúp rà soát mã ở quy mô và tốc độ mà việc kiểm tra thủ công khó đạt được. Đó là lợi thế rõ rệt cho phòng thủ, nhưng cũng khiến khoảng thời gian giữa công bố lỗi và khai thác tiềm năng trở nên nhạy cảm hơn.
Vì sao website chính phủ phải tạm ngắt?
Một số nước châu Âu, trong đó có Hà Lan, Phần Lan, Đức, Pháp, Bỉ và Áo, tạm thời đóng các website chính phủ để phòng ngừa trong lúc chuẩn bị vá lỗi. Tại Pháp, người truy cập các trang của tỉnh, cổng thuế và cơ quan dự báo thời tiết có lúc thấy trang bảo trì thay vì dịch vụ quen thuộc. Ở Hà Lan, dịch vụ định danh số quốc gia, trang Hạ viện và trung tâm an ninh mạng cũng tạm dừng hoạt động. Đây là lựa chọn gây bất tiện, nhưng có lý do: nếu máy chủ công khai vẫn chạy phần mềm dễ bị khai thác, mỗi phút chờ cập nhật có thể làm tăng rủi ro. Tạm ngắt kết nối giúp giảm bề mặt tấn công khi chưa thể xác nhận mọi hệ thống đã được vá. Với dịch vụ thiết yếu, cơ quan quản lý cần cân nhắc giữa duy trì truy cập và ngăn một sự cố có thể làm lộ dữ liệu hoặc gián đoạn hoạt động trên diện rộng.
Các nỗ lực tấn công tăng nhanh sau khi thông tin được công khai, nhưng một lần thử khai thác không đồng nghĩa với máy chủ đã bị xâm nhập. Tính đến ngày 22/10, cơ quan an ninh mạng Hoa Kỳ CISA chưa xếp PHP2Shell vào nhóm lỗ hổng được xác nhận là đang bị khai thác thành công. Các tài liệu cũng cho biết chưa có bằng chứng rằng những website bị ngắt đã bị tin tặc xâm nhập. Phân biệt hai điều này rất quan trọng: cảnh báo và biện pháp phòng ngừa là có thật, còn việc khẳng định đã xảy ra một làn sóng xâm nhập thành công sẽ vượt quá những gì được xác nhận.
Bản vá đã có: cần cập nhật hoặc cô lập hệ thống
Nhóm phát triển PHP phát hành bản sửa lỗi ngày 21/10, sớm hơn kế hoạch ban đầu một ngày. Tuy nhiên, việc phân phối bản vá có diễn biến phức tạp: một công ty bảo mật đã công bố phần mềm đã vá sớm hơn khoảng sáu giờ so với thời điểm công bố chính thức dự kiến. Khi chi tiết sửa lỗi xuất hiện, kẻ tấn công có thể phân tích phần thay đổi để suy ra điểm yếu cần tìm. Bởi vậy, phát hành bản vá chỉ là bước đầu; các tổ chức còn phải xác định máy chủ nào chịu ảnh hưởng và triển khai cập nhật nhanh chóng.
- Kiểm kê máy chủ và ứng dụng đang chạy PHP, sau đó xác định phiên bản có bị ảnh hưởng hay không.
- Cài bản cập nhật PHP đã vá ngay khi có thể; kiểm tra lại cấu hình và xác nhận dịch vụ đã chạy phiên bản an toàn.
- Nếu chưa thể cập nhật, ngắt kết nối hoặc cô lập hệ thống dễ bị tấn công khỏi Internet cho đến khi khắc phục xong.
- Theo dõi nhật ký truy cập và dấu hiệu bất thường; việc chưa có xác nhận bị khai thác không thay thế cho kiểm tra an ninh.
Cơ quan An ninh Quốc gia Hoa Kỳ khuyến nghị tổ chức cập nhật ngay hoặc ngắt kết nối các hệ thống còn dễ bị tấn công; nhóm phát triển PHP cũng kêu gọi người dùng cập nhật tức thì. Đáng lưu ý, trong số máy chủ PHP công khai phiên bản, 59% được cho là đang dùng bản không còn nhận bản vá chính thức. Với các hệ thống cũ như vậy, cập nhật có thể đòi hỏi chuyển phiên bản hoặc thay thế nền tảng; để chúng tiếp tục tiếp xúc Internet mà không có phương án giảm thiểu là một lựa chọn rủi ro.
AI giúp tìm lỗi, nhưng tốc độ ứng phó mới quyết định
Vụ việc cho thấy AI an ninh mạng không chỉ là công cụ tương lai: nó đã góp phần phát hiện những lỗi tồn tại lâu năm trong phần mềm nền tảng của Internet. Nhưng cùng khả năng rà soát nhanh ấy, công cụ AI cũng có thể giúp đối thủ tìm cách lần ngược bản vá và săn hệ thống chưa cập nhật. Bài học không phải là ngừng dùng AI, mà là rút ngắn thời gian từ phát hiện đến sửa lỗi, đồng thời chuẩn bị phương án cô lập dịch vụ khi không thể vá ngay.
Với người quản trị, ưu tiên là kiểm tra phiên bản PHP, áp dụng bản vá chính thức và cô lập máy chủ chưa thể cập nhật. Với cơ quan cung cấp dịch vụ công, quyết định tạm ngắt website có thể khiến người dân mất quyền truy cập trong thời gian ngắn, nhưng đôi khi đó là cách ít rủi ro hơn để bảo vệ dữ liệu và hạ tầng. Các thông tin hiện có xác nhận mức độ nghiêm trọng của lỗ hổng và những biện pháp phòng ngừa; chúng không xác nhận rằng các website bị ngắt đã bị xâm nhập. Kết luận rõ ràng: cập nhật ngay nếu có thể, còn nếu chưa thể thì đừng để hệ thống dễ tổn thương tiếp tục mở ra Internet.
