Hai lỗ hổng được tìm thấy trong ngôn ngữ lập trình PHP khiến nhiều vùng rộng lớn trên Internet gặp nguy hiểm.

Theo một số tài khoản, có tới 70% trang web sử dụng PHP ở một mức độ nào đó. Nó hỗ trợ Wikipedia, WordPress, Drupal và một loạt các trang web và nền tảng phổ biến khác, bao gồm DeviantArt và 4Chan, đã tạm thời ngừng hoạt động sau khi các lỗ hổng được tiết lộ. Ngay cả các chính phủ cũng không tránh khỏi.

Nhưng nó không đơn giản như việc cập nhật một vài máy chủ. Lỗ hổng tồn tại trong mọi phiên bản PHP có niên đại khoảng 20 năm, nhiều phiên bản trong số đó không còn được hỗ trợ. Điều đó có nghĩa là một số trang web và dịch vụ cũ không còn được bảo trì tích cực nữa sẽ gặp rủi ro, khiến chúng không còn lựa chọn nào khác ngoài việc phải đóng cửa vĩnh viễn.

Đây là tất cả những diễn biến mới nhất mà công ty bảo mật Wiz gọi là “trong số những lỗ hổng nghiêm trọng nhất được phát hiện… trong lịch sử phần mềm”.

• Hai trò chơi di động kiểu cũ của Nhật Bản sắp ngừng hoạt động do khai thác PHP. World Quest và Save My Demonic World đã hoạt động được hơn một thập kỷ, nhưng chúng được xây dựng trên công nghệ cũ hơn mà các nhà phát triển cho rằng không thể cập nhật để vá lỗi khai thác PHP tận thế được tiết lộ trong tuần này. Vì lỗ hổng này ảnh hưởng đến gần 20 năm của PHP nên một lượng lớn lịch sử Internet có nguy cơ bị mất. Theo Kotaku: Nhiều trang web và dịch vụ cũ không còn được cập nhật tích cực (hoặc có thể đơn giản là quá cũ để nhận được bản cập nhật, như trường hợp của hai trò chơi này) hiện có nguy cơ ngoại tuyến vĩnh viễn. Một sự kiện như vậy sẽ khóa nhiều phần Internet cũ khỏi tầm nhìn công khai, bao gồm cả những phần đã bắt đầu bị hỏng và không thể truy cập được.
• Khai thác PHP2Shell đã tấn công mạnh vào Cloudflare. Giám đốc điều hành Matthew Prince cho biết công ty đã chứng kiến ​​hàng nghìn nỗ lực khai thác lỗ hổng PHP trên mạng Cloudflare trong 10 giờ trước khi vấn đề được công bố rộng rãi. Con số đó đã tăng lên “hàng trăm nghìn” cuộc tấn công trong 2 giờ sau khi được tiết lộ và “hàng triệu” vào đêm qua. Rất tiếc.
• Hai lỗi được tìm thấy với AI là nguyên nhân gây ra các vấn đề lớn hiện nay đối với 4chan, DeviantArt, Wikipedia và blog nơi quầy bar ở góc đường đăng ảnh chó của mọi người. “Các lỗ hổng nghiêm trọng” được phát hiện trong ngôn ngữ lập trình PHP, ngôn ngữ làm nền tảng cho phần lớn Internet, bao gồm bất kỳ trang web nào được xây dựng trên WordPress. Nhưng nó còn lớn hơn thế nhiều. Một số cơ quan chính phủ Hà Lan và Phần Lan đã gỡ bỏ trang web của họ để đề phòng. Tài khoản An ninh mạng NSA trên X khuyến nghị các tổ chức nên đưa hệ thống của họ ngoại tuyến nếu “không thể cập nhật ngay lập tức”, cũng như Trung tâm An ninh Mạng Quốc gia của Vương quốc Anh. Ngay cả Pokémon Home và Pokémon Champions cũng bị đưa vào chế độ ngoại tuyến, Kotaku báo cáo. Lỗ hổng này không hẳn là mới. Nó đã có mặt trong PHP khoảng 20 năm, nhưng việc khai thác nó “đòi hỏi một chuỗi các bước cực kỳ phức tạp, vượt quá những gì con người có thể làm”. n mà các nhà nghiên cứu thực tế có thể đạt được,” theo công ty bảo mật Wiz. Tuy nhiên, các mô hình AI mạnh mẽ đã khiến việc biến loại lỗi khó hiểu đó thành lỗ hổng nguy hiểm trở nên dễ dàng hơn nhiều.
• GPT‑5.6 Sol được sử dụng để xác định lỗ hổng PHP nghiêm trọng. OpenAI cho biết một nhà nghiên cứu bảo mật tại Calif đã sử dụng GPT-5.6 Sol để xác định các hoạt động khai thác PHP trước khi những kẻ tấn công thực hiện và đã chia sẻ một công cụ cho phép các nhà phát triển kiểm tra xem họ có đang sử dụng phiên bản PHP có khả năng dễ bị tấn công cần vá hay không. Ami Luttwak, người đồng sáng lập nhóm bảo mật Wiz của Google, người cũng đã giúp xác định cách khai thác PHP2Shell, nói với Wall Street Journal rằng đây là “lỗ hổng AI nghiêm trọng nhất từng được tìm thấy”.
• Hôm nay, các bản vá bảo mật cho ngôn ngữ lập trình PHP, được sử dụng rộng rãi để xây dựng trang web và ứng dụng web, với mục tiêu sửa hai lỗ hổng nghiêm trọng có thể tàn phá Internet nếu không được kiểm tra. Trong một lời khuyên được công bố hôm thứ Ba, các nhà phát triển PHP cho biết các lỗ hổng này có mức độ nghiêm trọng là 9,2 trên 10. Một số cơ quan an ninh mạng khuyến khích các trang web tạm thời đưa hệ thống của họ ngoại tuyến nếu họ không thể áp dụng bản sửa lỗi ngay lập tức. Bản vá bảo mật đã được phát hành hôm nay lúc 10 giờ sáng theo giờ ET và người dùng PHP đang được khuyến khích “nâng cấp ngay khi có bản phát hành”. Theo công ty an ninh mạng watchTowr, các lỗ hổng này là các khai thác Thực thi mã từ xa được cho là ảnh hưởng đến mọi phiên bản PHP từ PHP 5 trở đi và có thể cho phép kẻ tấn công chạy mã của riêng chúng trên các máy chủ bị ảnh hưởng, cho phép chúng thay đổi trang web một cách độc hại, đánh cắp dữ liệu, v.v. Đọc bài viết >