#PHPCriticalVulnerabilityHitsGovernmentWebsites

Một lỗ hổng nghiêm trọng trong PHP đã châm ngòi cho cuộc chạy đua bảo mật trên toàn cầu, khiến các cơ quan chính phủ và tổ chức công tạm thời đưa website ngoại tuyến để giảm nguy cơ bị tấn công mạng.

Điều tôi lo ngại nhất không chỉ là có bao nhiêu website ngừng hoạt động. Mà còn là mức độ phụ thuộc của internet vào phần mềm có thể đang chạy ở những nơi mà các tổ chức thậm chí không biết cần phải cập nhật.

1. Thực sự đã xảy ra chuyện gì?

Ngày 21 tháng 10, nhóm phát triển PHP đã phát hành các bản cập nhật bảo mật khẩn cấp để khắc phục hai lỗ hổng nghiêm trọng: CVE-2026-109618 và CVE-2026-109619.

Cả hai lỗ hổng đều có điểm mức độ nghiêm trọng CVSS là 9,2 trên 10 và có thể cho phép thực thi mã từ xa mà không cần xác thực trên các hệ thống dễ bị tấn công.

Nói đơn giản, kẻ tấn công có thể thực thi mã độc trên một máy chủ bị ảnh hưởng mà không cần đăng nhập trước. Tùy vào hệ thống và quyền hạn được cấp, điều này có thể dẫn đến lộ dữ liệu, bị xâm phạm thêm hoặc gián đoạn hoạt động.

Các website chính phủ tại một số quốc gia châu Âu đã được đưa ngoại tuyến như một biện pháp phòng ngừa trong khi quản trị viên tìm cách bảo vệ hạ tầng của họ.

2. Tác động có thể lan rộng hơn không?

Có, rủi ro có thể vượt ra ngoài các cổng thông tin chính phủ đã bị ảnh hưởng.

PHP vận hành phần lớn website và được sử dụng bởi các hệ thống quản lý nội dung, dịch vụ trực tuyến và ứng dụng. Một số sản phẩm còn tích hợp PHP chạy ngầm, nghĩa là một tổ chức có thể gặp rủi ro ngay cả khi PHP không hiện diện rõ ràng trong hệ thống ứng dụng của họ.

Thách thức lớn nhất là tìm ra mọi bản cài đặt bị ảnh hưởng, bao gồm máy chủ cũ, ứng dụng bị lãng quên và hệ thống của bên thứ ba.

Các nhà nghiên cứu bảo mật cũng đã báo cáo dấu hiệu hoạt động khai thác. Điều đó khiến khoảng thời gian từ lúc phát hiện lỗ hổng đến khi áp dụng bản vá phù hợp trở nên đặc biệt quan trọng.

Tuy nhiên, lỗ hổng phổ biến không đồng nghĩa với việc mọi website PHP đều đã bị xâm phạm. Việc ngừng hoạt động có thể là biện pháp phòng ngừa chứ không phải bằng chứng về một cuộc tấn công thành công.

3. Vì sao điều này quan trọng đối với hạ tầng internet

Các dịch vụ số hiện đại có sự liên kết với nhau. Một máy chủ dễ bị tấn công có thể làm lộ nhiều hơn một trang web công khai nếu nó cũng kết nối với các hệ thống nội bộ, cơ sở dữ liệu hoặc dịch vụ khác.

Đó là lý do các nhóm bảo mật cần nghĩ xa hơn việc nhanh chóng khôi phục website. Họ phải xác minh hệ thống nền tảng an toàn trước khi đưa website hoạt động trở lại.

Sự cố này cũng cho thấy thách thức trong việc duy trì phần mềm cũ. Một số phiên bản PHP cũ hơn không còn nhận được bản cập nhật bảo mật chính thức, khiến việc nâng cấp và bảo trì dài hạn trở nên thiết yếu.

4. Các tổ chức nên làm gì ngay bây giờ?

Các ưu tiên trước mắt rất rõ ràng:

Xác định mọi bản cài đặt PHP, đặc biệt là những bản được kết nối internet.

Nâng cấp lên bản PHP đã vá phù hợp.

Kiểm tra các nền tảng lưu trữ, plugin và sản phẩm của bên thứ ba có thể tích hợp PHP.

Theo dõi nhật ký và hệ thống để phát hiện hoạt động đáng ngờ.

Nếu không thể bảo mật hệ thống kịp thời, hãy cân nhắc cô lập hệ thống cho đến khi có thể khắc phục.

Hướng dẫn chính thức của PHP nêu các bản đã vá gồm PHP 8.2.35, 8.3.36, 8.4.27 và 8.5.12. Quản trị viên nên xác minh phiên bản và lộ trình nâng cấp phù hợp với môi trường của mình.

Góc nhìn của tôi: Sự cố này nhắc nhở rằng an ninh mạng không chỉ là ngăn chặn các cuộc tấn công. Đó còn là việc biết tổ chức của bạn đang chạy phần mềm nào, duy trì hỗ trợ cho phần mềm đó và phản ứng nhanh khi các lỗ hổng nghiêm trọng được công khai.

Các bản vá đã có sẵn, nhưng thử thách thực sự là xác định và bảo vệ các hệ thống dễ bị tấn công nhanh đến mức nào.

Đây không phải lời khuyên tài chính.

Bạn nghĩ rủi ro lớn nhất nằm ở chính lỗ hổng này, hay ở số lượng tổ chức có thể vẫn đang sử dụng hạ tầng lỗi thời và chưa được vá?
@Gate_Square