Hai lỗ hổng nghiêm trọng tồn tại trong PHP từ năm 2004 vừa được các nhóm nghiên cứu của OpenAI và Wiz phát hiện bằng công cụ trí tuệ nhân tạo. Các lỗi có thể cho phép kẻ tấn công truy cập hệ thống tệp hoặc cơ sở dữ liệu của máy chủ. Quản trị viên cần kiểm tra phiên bản PHP, cài bản vá và nâng cấp lên phiên bản còn được hỗ trợ.
Theo TechCrunch, cơ quan an ninh Mỹ khuyến nghị các trang web chưa thể vá ngay nên tạm ngừng hoạt động để giảm nguy cơ bị tấn công. OpenAI cho biết chưa có báo cáo về việc hai lỗ hổng bị khai thác ngoài thực tế.
Nội dung cảnh báo: Hai lỗ hổng PHP ảnh hưởng đến phần lớn internet
Hai lỗ hổng xuất hiện trong mọi phiên bản PHP kể từ PHP 5, được phát hành năm 2004. Vì PHP vận hành khoảng 70% số trang web trên internet theo số liệu TechCrunch dẫn lại, phạm vi cần kiểm tra và cập nhật có thể lên tới hàng chục triệu trang web.
PHP là ngôn ngữ lập trình phía máy chủ được nhiều ứng dụng web và hệ quản trị nội dung, gồm WordPress, sử dụng. TechCrunch cho biết tỷ lệ khoảng 70% tương đương hơn 33 triệu trang theo một số thống kê.
Các lỗi có thể cho phép kẻ tấn công xâm nhập hệ thống tệp của máy chủ hoặc cơ sở dữ liệu mà ứng dụng web sử dụng. Cơ quan an ninh Mỹ vì thế khuyến nghị đưa trang web xuống mạng nếu quản trị viên chưa thể cài bản vá ngay.
Theo TechCrunch, PHP 8.1 và các phiên bản cũ hơn không còn được hỗ trợ, còn phiên bản hiện hành được khuyến nghị là PHP 8.5.12. Máy chủ dùng phiên bản PHP cũ có thể cần thêm công việc nâng cấp.
Quỹ PHP đã phát hành bản vá trước khi thông tin chi tiết về các lỗ hổng được công bố rộng rãi.
OpenAI và Wiz phát hiện lỗi bằng trí tuệ nhân tạo
Calif phát hiện một lỗ hổng bằng GPT-5.6 Sol trong sáng kiến “Vá hành tinh” của OpenAI. Trong cuộc điều tra riêng, Wiz sử dụng Wiz Atlas cùng Gemini 4 Argon và GPT-5.6 Sol để tìm nhiều lỗ hổng trong PHP, sau đó phối hợp xử lý trước khi công bố.
Công ty kiểm thử bảo mật Calif tham gia sáng kiến của OpenAI nhằm tìm lỗ hổng trong phần mềm nguồn mở. Theo công bố của OpenAI, Calif sử dụng GPT-5.6 Sol để phát hiện một trong hai lỗ hổng.
Nhóm Wiz dùng tác tử bảo mật Wiz Atlas cùng Gemini 4 Argon và GPT-5.6 Sol trong một cuộc điều tra riêng. Trong trường hợp này, các công cụ được dùng để tìm lỗ hổng PHP, thay vì thực hiện nhiệm vụ của tác tử trí tuệ nhân tạo viết mã.
OpenAI và Wiz không công bố kết quả ngay sau khi phát hiện. Hai bên phối hợp với đội ngũ PHP để xây dựng và kiểm tra bản vá trước khi tiết lộ lỗ hổng. Wiz cũng cảm ơn Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft và Vercel vì đã tham gia quá trình xử lý.
WordPress không phải nguyên nhân của lỗ hổng
Lỗ hổng nằm trong PHP chứ không chỉ xuất hiện trên WordPress. Trang WordPress sử dụng PHP vẫn có thể bị ảnh hưởng, vì vậy chủ trang cần kiểm tra phiên bản PHP trên máy chủ và phối hợp với nhà cung cấp dịch vụ lưu trữ để cài bản vá.
Theo tuyên bố của WordPress được TechCrunch dẫn lại, chủ trang web phải vá máy chủ và làm việc với nhà cung cấp dịch vụ lưu trữ để bảo đảm hệ thống được bảo vệ.
Cập nhật phần lõi, giao diện hoặc phần mở rộng WordPress chưa chắc đã xử lý được vấn đề nếu máy chủ vẫn chạy phiên bản PHP bị ảnh hưởng. Đây cũng là lý do những lỗ hổng chưa được vá trong doanh nghiệp có thể tồn tại dù phần mềm phía người dùng được cập nhật thường xuyên.
Trí tuệ nhân tạo vừa phát hiện lỗi vừa làm tăng rủi ro
OpenAI cho biết các nhà nghiên cứu tìm thấy hai lỗ hổng trước tin tặc và chưa ghi nhận hoạt động khai thác ngoài thực tế. Tuy nhiên, Wiz cảnh báo rằng mô hình ngôn ngữ lớn có thể giúp điều chỉnh cách khai thác cho từng phiên bản PHP, cấu hình và cách bố trí bộ nhớ.
Trước khi các mô hình ngôn ngữ lớn phổ biến, việc điều chỉnh mã khai thác theo từng môi trường quá khó đối với nhiều kẻ tấn công. Trí tuệ nhân tạo có thể hạ thấp rào cản kỹ thuật đó.
Cùng một công nghệ giúp nhà nghiên cứu tìm và vá lỗi cũng có thể hỗ trợ kẻ xấu tấn công máy chủ chưa cập nhật. Xu hướng trí tuệ nhân tạo tăng tốc khai thác lỗ hổng khiến thời gian từ lúc công bố đến lúc cài bản vá trở nên quan trọng hơn.
Quản trị viên cần làm gì để vá lỗ hổng PHP?
Quản trị viên cần xác định phiên bản PHP đang chạy, nâng cấp lên phiên bản còn được hỗ trợ và cài bản vá do dự án PHP phát hành. Nếu chưa thể hoàn tất ngay, khuyến nghị được TechCrunch dẫn từ cơ quan an ninh Mỹ là tạm đưa trang web xuống mạng.
- Kiểm tra phiên bản PHP trên máy chủ.
- Xác định máy chủ có đang chạy phiên bản không còn được hỗ trợ hay không.
- Nâng cấp lên phiên bản PHP còn được hỗ trợ.
- Cài bản vá do dự án PHP phát hành.
- Trao đổi với nhà cung cấp dịch vụ lưu trữ nếu không thể tự cập nhật.
Sau khi thông tin được công bố, tin tặc cũng biết các lỗ hổng tồn tại. Theo TechCrunch, hàng chục triệu trang web có thể phải được cập nhật trước khi những máy chủ chưa vá trở thành mục tiêu.
FAQs
Hai lỗ hổng ảnh hưởng đến các máy chủ chạy PHP, gồm cả những máy chủ lưu trữ trang WordPress. Tình trạng khai thác, phiên bản cần nâng cấp và trách nhiệm vá lỗi phụ thuộc vào phần mềm phía máy chủ chứ không chỉ mã nguồn của từng trang web.
Hai lỗ hổng PHP đã bị tin tặc khai thác chưa?
OpenAI cho biết các nhà nghiên cứu phát hiện hai lỗ hổng trước tin tặc và chưa có báo cáo về hoạt động khai thác ngoài thực tế. Tuy vậy, việc công bố khiến các máy chủ chưa vá có nguy cơ trở thành mục tiêu.
Trang WordPress có cần cài bản vá không?
Có. Lỗ hổng không dành riêng cho WordPress, nhưng trang WordPress sử dụng PHP vẫn cần kiểm tra và cập nhật máy chủ. Chủ trang nên phối hợp với nhà cung cấp dịch vụ lưu trữ nếu không trực tiếp quản lý phiên bản PHP.
Máy chủ nên nâng cấp lên phiên bản PHP nào?
Theo TechCrunch, PHP 8.5.12 là phiên bản hiện hành được khuyến nghị tại thời điểm bài viết được công bố. PHP 8.1 và các phiên bản cũ hơn không còn được hỗ trợ.
Hãy kiểm tra phiên bản PHP trên máy chủ và trao đổi với nhà cung cấp dịch vụ lưu trữ nếu trang web của bạn chưa thể cập nhật ngay.
