PHP phát hành bản vá lỗ hổng PHP2Shell, nhưng hàng triệu lượt tấn công và khoảng 884.000 máy chủ chạy phiên bản hết hỗ trợ khiến rủi ro hiện hữu.
Hai lỗ hổng bảo mật trong PHP, được gọi chung là PHP2Shell, đã buộc nhiều cơ quan chính phủ và doanh nghiệp châu Âu phải khẩn trương ngắt kết nối hệ thống trong tuần này. PHP là ngôn ngữ lập trình vận hành phía sau khoảng 70% số trang web xác định được ngôn ngữ phía máy chủ, và PHP2Shell cho phép kẻ tấn công chiếm quyền kiểm soát máy chủ mà không cần đăng nhập.
Ngày thứ Tư, PHP công bố các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35, đồng thời khẳng định cập nhật phần mềm là lựa chọn an toàn duy nhất. Tuy nhiên, PHP không tự động cập nhật. Từng nhà cung cấp dịch vụ lưu trữ, bộ phận công nghệ thông tin và chủ trang web phải tự cài bản vá rồi khởi động lại phần mềm. Các phiên bản 8.1 trở về trước không còn nhận bản cập nhật chính thức, dù nhóm bảo mật PHP đã đưa ra bản vá tối thiểu cho phiên bản 7.4, 8.0 và 8.1 dành cho người tự biên dịch phần mềm.
Áp lực khai thác diễn ra rất nhanh. Theo Giám đốc điều hành Cloudflare Matthew Prince, mạng lưới của công ty ghi nhận hàng nghìn lượt khai thác trong 10 giờ trước khi lỗ hổng được công bố, hàng chục nghìn lượt trong 45 phút sau đó và tổng cộng hàng triệu lượt tính đến nay. Amazon cho biết máy chủ mồi nhử của hãng phát hiện một nỗ lực khai thác từ ngày 17/10, tức bốn ngày trước khi lỗ hổng được công khai. CISO CJ Moses thừa nhận chưa rõ kẻ tấn công có được thông tin bằng cách nào.
Nỗ lực tấn công dày đặc nhưng chưa có vụ xâm nhập được xác nhận
Dù vậy, giới chức các nước chưa ghi nhận trường hợp khai thác thành công. Phó Chủ tịch Cơ quan An ninh mạng Liên bang Đức (BSI) Thomas Caspers cho rằng việc khai thác có vẻ phức tạp hơn dự kiến, trong khi Chánh Văn phòng Nội các Nhật Bản Minoru Kihara cũng chưa xác nhận vụ tấn công nào. Song các vụ xâm nhập thường chỉ bị phát hiện sau một thời gian, nên tín hiệu tích cực này chưa đủ để kết luận.
Danh sách dịch vụ phải tạm dừng theo khuyến nghị của Trung tâm An ninh mạng Quốc gia Anh (NCSC) bao gồm Wikimedia, trang web và ứng dụng của Orange tại hàng chục quốc gia, 32 dịch vụ của Chính phủ Anh, một số bệnh viện Hà Lan và nhà cung cấp dịch vụ công nghệ thông tin liên bang Đức ITZBund. Một phần đã hoạt động trở lại từ thứ Năm.
Sự cố cũng phơi bày điểm yếu cơ cấu của PHP. Quỹ PHP thừa nhận dấu hiệu đầu tiên của lỗi cạn bộ nhớ đã xuất hiện từ năm 2024, nhưng nhóm phát triển chậm trễ do khó chọn phương án và thiếu nguồn lực. Tổ chức này sẽ chuyển cơ chế ra quyết định của nhóm bảo mật từ đồng thuận sang biểu quyết theo đa số.
Với người dùng phổ thông, rủi ro chủ yếu nằm ở các trang web chưa vá chứ không phải thiết bị cá nhân, nên việc đổi mật khẩu ngay lúc này chưa thực sự cần thiết. Riêng với tài sản mã hóa, máy chủ bị chiếm quyền có thể hiển thị giao diện giả mạo yêu cầu kết nối ví, vì vậy người dùng nên kiểm tra kỹ giao dịch trước khi ký. Theo công ty an ninh mạng Mallory, khoảng 884.000 máy chủ trên Internet vẫn chạy phiên bản PHP không còn được vá chính thức, cho thấy sự cố còn lâu mới khép lại.
