Hàng triệu website gặp báo động đỏ – PHP tung bản vá khẩn cấp hai lỗ hổng chiếm quyền điều khiển máy chủ
Hàng triệu máy chủ trên khắp thế giới đang bước vào một cuộc chạy đua thời gian đầy căng thẳng. Nhóm bảo mật của dự án PHP – nền tảng vận hành phần lớn website hiện nay – vừa thông báo phát hành khẩn cấp các bản sửa lỗi nhằm khắc phục hai lỗ hổng an ninh đặc biệt nghiêm trọng. Khoảng thời gian từ lúc cảnh báo được phát đi cho đến khi bản vá ra mắt chưa đầy một ngày, buộc các quản trị viên hệ thống phải lập tức vào vị trí ứng trực.
Bản chất hai lỗ hổng RCE và mức độ báo động tối đa
Hai lỗ hổng vừa được công bố mang mã định danh CVE-2026-109618 và CVE-2026-109619. Theo thang điểm chuẩn quốc tế CVSS v4.0, đội ngũ bảo mật PHP chấm hai lỗi này ở mức 9.2/10. Tuy nhiên, một số tổ chức phân tích an ninh mạng độc lập lại nhận định mức độ nguy hiểm ở mức tối đa: 10/10.
Cả hai đều thuộc nhóm lỗi thực thi mã từ xa (RCE - Remote Code Execution). Hiểu một cách đơn giản, kẻ tấn công từ bên ngoài có thể gửi các đoạn mã độc để ra lệnh trực tiếp cho máy chủ mà không cần có tài khoản quản trị hay sự cho phép của chủ sở hữu. Một khi chiếm được quyền kiểm soát ở tầng máy chủ, tin tặc có thể thao túng dữ liệu, cài cắm mã độc tống tiền hoặc làm gián đoạn toàn bộ hoạt động kinh doanh trực tuyến.
Vết rò rỉ trên diễn đàn công nghệ và công cụ tấn công xuất hiện sớm
Quyết định đẩy nhanh lịch trình phát hành bản vá xuất phát từ việc thông tin kỹ thuật đã bị rò rỉ ra bên ngoài từ trước. Cụ thể, một tài khoản có tên "petecooper" đã đăng bài viết trên diễn đàn công nghệ Hacker News hé lộ thông tin chi tiết về hai lỗi RCE nghiêm trọng của PHP, kèm theo thời điểm dự kiến công bố ban đầu.
Mặc dù bài viết đã nhanh chóng bị xóa, dữ liệu vẫn được các đơn vị an ninh mạng ghi nhận lại. Đáng lo ngại hơn, cộng đồng bảo mật còn ghi nhận một đoạn video rò rỉ minh họa công cụ mang tên "PHP2Shell". Công cụ này được ghi nhận có khả năng khai thác lỗ hổng để chiếm quyền điều khiển trên hàng loạt nền tảng web phổ biến như WordPress, Magento, Drupal hay Joomla. Việc công cụ khai thác đã bắt đầu lộ diện ngoài thực tế biến nguy cơ bị tấn công trở nên cận kề hơn bao giờ hết.
Nguy cơ bùng phát tấn công trên các phiên bản lỗi thời
Quy mô ảnh hưởng của đợt vá lỗi lần này đặc biệt lớn. Số liệu từ W3Techs cho thấy PHP hiện diện trên 69,3% tổng số website có xác định ngôn ngữ máy chủ trên toàn cầu.
Thách thức lớn nhất nằm ở thực trạng sử dụng phiên bản phần mềm. Dù dự án PHP hiện chỉ còn duy trì hỗ trợ kỹ thuật cho các nhánh từ 8.2 đến 8.5, báo cáo từ giới nghiên cứu an ninh mạng cho thấy hai lỗ hổng này có thể ảnh hưởng ngược về cả các nhánh cũ như PHP 5 và PHP 7. Trên thực tế, có tới 27% website vẫn đang chạy PHP 7 và hơn 7,7% vẫn vận hành trên nền tảng PHP 5 – vốn đã ra mắt từ năm 2004 và từ lâu không còn nhận các bản vá bảo mật chính thức. Như vậy, có hơn một phần ba số website dùng PHP đang hoạt động trên những nền tảng không còn được nhà phát triển bảo vệ.
Các chuyên gia an toàn thông tin nhận định rằng, chỉ khoảng 15 phút sau khi bản vá chính thức được phát hành, giới tội phạm mạng sẽ mổ xẻ mã nguồn sửa lỗi để tạo ra các kịch bản tấn công tự động nhắm vào những hệ thống chậm chân.
Quản trị viên cần làm gì ngay trước giờ PHP phát hành bản vá lỗ hổng?
Để tránh rơi vào thế bị động, các quản trị viên hệ thống và doanh nghiệp sở hữu website cần nhanh chóng thực hiện các bước sau:
Kiểm tra ngay phiên bản PHP máy chủ đang sử dụng thông qua dòng lệnh đơn giản: php -v.
Chuẩn bị sẵn kế hoạch tạm dừng dịch vụ và phân bổ nhân sự kỹ thuật để cập nhật ngay khi mã nguồn vá lỗi được đưa lên trang tin tức chính thức php.net.
Nếu website đang hoạt động trên môi trường máy chủ chia sẻ (shared hosting), cần liên hệ ngay với đơn vị cung cấp hạ tầng để xác nhận lịch trình cập nhật phần mềm hệ thống.
Chủ động phòng ngừa rủi ro cùng hệ sinh thái giải pháp từ IPSIP Việt Nam
Để nâng cao khả năng phòng thủ trước các chiến dịch tấn công mạng diện rộng, doanh nghiệp cần kết hợp giữa kiểm tra bảo mật chủ động và giám sát hệ thống liên tục.
Theo định hướng từ IPSIP Việt Nam, triển khai Kiểm thử bảo mật (PENTEST) cùng Quét lỗ hổng định kỳ (Vulnerability Assessment) giúp xác định những điểm yếu trong hạ tầng web, đặc biệt là các ứng dụng sử dụng phiên bản phần mềm lỗi thời có nguy cơ bị khai thác từ xa. Song song đó, kết hợp Trung tâm Giám sát An ninh mạng (SOC 24/7) với dịch vụ Managed Firewall giúp phát hiện sớm hoạt động thăm dò đáng ngờ, phân tích lưu lượng truy cập và ngăn chặn các hành vi xâm nhập tiềm ẩn. Việc duy trì quy trình cập nhật, vá lỗi kịp thời cùng hệ thống phòng thủ nhiều lớp sẽ giúp doanh nghiệp giảm thiểu nguy cơ bị tấn công, bảo vệ dữ liệu quan trọng và duy trì hoạt động ổn định trước những mối đe dọa an ninh mạng ngày càng phức tạp.
Tham khảo: Frandroid - Failles critiques dans PHP : alerte maximale et mise à jour d’urgence ce mercredi à 16 h
