Ngày tồi tệ của Internet: AI phát hiện hai lỗ hổng nghiêm trọng trong PHP
Theo Reuters, ngày 21 tháng Mười được xem là «ngày tồi tệ» của an ninh mạng và Internet, khi nhiều cơ quan chánh phủ trên thế giới phải chủ động đóng cửa website sau khi AI phát hiện hai lỗ hổng nghiêm trọng trong PHP — ngôn ngữ ước tính được sử dụng trong 70 phần trăm website toàn cầu.
HÀ NỘI, ngày 22 tháng 10. — Ngày 21 tháng Mười được xem là «ngày tồi tệ» của an ninh mạng và Internet, theo Reuters, khi xuất hiện thông tin trí tuệ nhân tạo (AI) đã tìm ra hai lỗ hổng bảo mật nghiêm trọng liên quan đến PHP — ngôn ngữ lập trình ước tính được sử dụng trong 70 phần trăm website toàn cầu. Cả hai lỗ hổng được đánh giá mức độ nghiêm trọng 9,2/10 điểm, buộc hàng loạt cơ quan chánh phủ phải chủ động đóng cửa website để phòng ngừa.
Cụ thể, hai lỗ hổng mang mã CVE-2026-109618 và CVE-2026-109619, gọi chung là PHP2Shell, cho phép hacker thực thi mã từ xa và chạy lệnh độc hại trên máy chủ bị ảnh hưởng. Tuỳ thuộc cấu hình và quyền hạn của máy chủ, một cuộc tấn công thành công có thể làm lộ thông tin nhạy cảm hoặc làm tổn hại đến toàn bộ hệ thống.
«Giai đoạn mới, nơi AI có thể tìm ra lỗi bảo mật trên quy mô toàn Internet»
OpenAI tuyên bố mô hình GPT-5.6 Sol đã giúp nhận diện sự cố, trong khi Google khẳng định Gemini 4 Argon «có đóng góp vô cùng quan trọng trong việc tìm ra lỗ hổng, phát triển khai thác, phát hiện tấn công và xác thực bản vá». Một trong hai lỗ hổng vốn được công ti khởi nghiệp Calif Research của Hoa Kỳ tìm ra hồi tháng Bảy bằng chánh GPT-5.6 Sol và thông báo cho các đơn vị liên quan. Đáng chú ý, công ti bảo mật này có nhiều thành viên người Việt Nam và kĩ sư Dương Ngọc Thái làm giám đốc điều hành.
Công ti an ninh mạng Wiz, cũng của Hoa Kỳ, sau đó phát hiện và báo cáo hai lỗi tương tự. «Chúng nằm trong những lỗ hổng nghiêm trọng nhất từng được phát hiện trong PHP, có thể nói là trong lịch sử phần mềm», đại diện Wiz nhận định với hãng tin AP. Trên mạng xã hội X, giới chuyên gia đánh giá đây «đánh dấu giai đoạn mới, nơi AI có thể tìm ra lỗi bảo mật có tác động trên quy mô toàn Internet».
Nhóm Patch the Planet — sáng kiến tập hợp những người bảo trì phần mềm, nhà nghiên cứu bảo mật và nhà cung cấp cơ sở hạ tầng của OpenAI cho mục đích an toàn AI — cho biết đã phối hợp với cộng đồng PHP để khắc phục sự cố. Bản vá được tung ra cùng ngày 21 tháng Mười. Trong thông báo chánh thức, cộng đồng PHP khuyến cáo người dùng «cập nhật bản vá lập tức», nhất là các hệ thống đang chạy phiên bản cũ. Dane Knecht, Giám đốc công nghệ của Cloudflare, cho biết đã triển khai bản vá cho tường lửa của mình.
«Trong vòng 2 tiếng, nỗ lực khai thác đã lên đến hàng trăm nghìn»
Thực tế đã ghi nhận dấu hiệu lỗ hổng bị lợi dụng. «Đúng như dự đoán, chúng tôi ghi nhận lỗ hổng PHP mới nhất đã bị lợi dụng», nhà nghiên cứu Jake Knott của công ti an ninh mạng WatchTowr nói với CNet. «Chưa ai thành công, nhưng điều đó có thể sẽ không kéo dài lâu». Theo số liệu mà Tổng Giám đốc Cloudflare Matthew Prince công bố trên X ngày 22 tháng Mười: «Trong 10 tiếng trước khi lỗ hổng được công bố công khai, trên toàn mạng Cloudflare ghi nhận hàng nghìn nỗ lực khai thác. Con số tăng vọt lên hàng chục nghìn trong 45 phút sau thông báo, hàng trăm nghìn trong vòng 2 tiếng, và hiện đã lên đến hàng triệu».
Hàng loạt cơ quan chánh phủ phải tạm đóng website. Tại Pháp, Bộ Nội vụ cho biết các trang web của chánh quyền địa phương, trong đó có Sở cảnh sát Paris, đã chặn truy cập theo yêu cầu của Cơ quan An ninh mạng quốc gia Pháp. Tại Hà Lan, dịch vụ định danh kĩ thuật số quốc gia DigiD, website Hạ viện và website trung tâm an ninh mạng quốc gia tạm ngừng hoạt động để phòng ngừa. Cơ quan An ninh Quốc gia Hoa Kỳ (NSA) cũng khuyến cáo tạm ngừng hoạt động hệ thống bị ảnh hưởng nếu quản trị viên không thể vá lỗi kịp thời. Theo thống kê của BuiltWith, khoảng 24 triệu website trên toàn cầu đang chạy PHP, riêng Việt Nam có hơn 143.000 website.
Được biết, lỗ hổng PHP không phải là vấn đề đau đầu duy nhất ngày 21 tháng Mười. Theo Interesting Engineering, Node.js — môi trường chạy JavaScript mã nguồn mở — đã thông báo vá bốn lỗ hổng nghiêm trọng cho phép hacker thực thi mã từ xa. LiteLLM, máy chủ proxy mã nguồn mở chuyên định tuyến yêu cầu đến các nhà cung cấp mô hình ngôn ngữ lớn, cũng bị tin tặc chèn mã độc. Trong khi đó, eMudhra, cơ quan cấp chứng chỉ số của Ấn Độ, thông báo hệ thống bị xâm phạm khoá riêng — các chuyên gia bảo mật đánh giá vấn đề này «lớn hơn cả Heartbleed».