Hai lỗi được tìm thấy với AI là nguyên nhân gây ra các vấn đề lớn hiện nay đối với 4chan, DeviantArt, Wikipedia và blog nơi quầy bar ở góc đường đăng ảnh chó của mọi người. “Các lỗ hổng nghiêm trọng” được phát hiện trong ngôn ngữ lập trình PHP, ngôn ngữ làm nền tảng cho phần lớn Internet, bao gồm bất kỳ trang web nào được xây dựng trên WordPress. Nhưng nó còn lớn hơn thế nhiều. Một số cơ quan chính phủ Hà Lan và Phần Lan đã gỡ bỏ trang web của họ để đề phòng. Tài khoản An ninh mạng NSA trên X khuyến nghị các tổ chức nên đưa hệ thống của họ ngoại tuyến nếu “không thể cập nhật ngay lập tức”, cũng như Trung tâm An ninh Mạng Quốc gia của Vương quốc Anh. Ngay cả *Pokémon Home* và *Pokémon Champions* cũng bị đưa vào chế độ ngoại tuyến, *Kotaku* báo cáo.

OpenAI đang được ghi nhận vì đã tìm ra các lỗ hổng PHP2Shell, nhưng giờ đây ai đó phải áp dụng tất cả các bản vá này.

Lỗ hổng này không hẳn là mới. Theo công ty bảo mật Wiz, nó đã có mặt trong PHP khoảng 20 năm, nhưng việc khai thác nó “đòi hỏi một chuỗi các bước cực kỳ phức tạp, vượt xa những gì mà các nhà nghiên cứu con người có thể đạt được trên thực tế”. Tuy nhiên, các mô hình AI mạnh mẽ đã giúp việc biến loại lỗi khó hiểu đó thành lỗ hổng nguy hiểm trở nên dễ dàng hơn nhiều.

Là một người dùng Internet bình thường, bạn có thể thắc mắc chính xác hàng loạt thuật ngữ như “RCE thông qua tham nhũng OOM” nghĩa là gì, bạn nên lo lắng đến mức nào và chính xác thì tại sao lỗ hổng nghiêm trọng này lại ẩn sâu trong tầm radar bấy lâu nay.

W3Techs, một dịch vụ khảo sát, cho biết ngôn ngữ lập trình PHP được sử dụng bởi “69,3% tất cả các trang web có ngôn ngữ lập trình phía máy chủ mà chúng tôi biết”, bao gồm các trang web phổ biến như Wikipedia và WordPress. Trang web bảo mật Internet VirusTotal cho biết máy quét của họ hiện đăng ký khoảng 3,8 triệu trang web chạy PHP với ít nhất một cổng mở.

Theo OpenAI, một nhóm bảo mật AI có tên Calif đã xác định được một lỗ hổng PHP “nghiêm trọng” khi sử dụng GPT-5.6 Sol và Wiz thuộc sở hữu của Google đã độc lập phát hiện và báo cáo các lỗ hổng sử dụng AI. Tổ chức PHP cho biết việc khai thác một trong những lỗ hổng “đã được đưa ra giả thuyết” vào năm 2024, nhưng “không tìm thấy vectơ cụ thể nào và các vấn đề cụ thể khác có tác động rõ ràng đã làm lu mờ những lo ngại này”.

Giờ đây, Nhóm PHP cho biết tin tặc có thể sử dụng hai lỗ hổng này để “thực thi mã từ xa không được xác thực”, như chạy mã của riêng chúng, thay đổi nội dung và truy cập dữ liệu được lưu trữ của trang web mà không cần thông tin đăng nhập hoặc mật khẩu của quản trị viên.

RCE do lỗi OOM, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): việc xử lý hết bộ nhớ có thể làm gián đoạn PHP trong khi dữ liệu yêu cầu nội bộ chỉ được khởi tạo một phần. Sau đó, yêu cầu dọn dẹp có thể coi dữ liệu không hợp lệ là hợp lệ.

RCE thông qua trạng thái toàn cầu cũ, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): trạng thái nội bộ do yêu cầu sở hữu có thể tồn tại sau khi bộ nhớ sao lưu của nó được giải phóng. Yêu cầu sau đó được xử lý bởi cùng một nhân viên có thể sử dụng trạng thái cũ đó trước khi quá trình khởi tạo bình thường đặt lại nó.

Rất. Nhóm PHP nói rằng về cơ bản, bất kỳ trang web nào chạy PHP đều gặp rủi ro. OpenAI, công ty tham gia nghiên cứu lỗ hổng, cho biết: “Chúng tôi coi đây là một trong những vấn đề bảo mật có ảnh hưởng lớn nhất trong thời gian gần đây”. Và Wiz cho biết đây là “một trong những lỗ hổng nghiêm trọng nhất được phát hiện… trong lịch sử phần mềm”.

Thật khó để nói rõ điều này có thể tệ đến mức nào. Các lỗ hổng có thể cho phép kẻ tấn công chiếm toàn quyền kiểm soát máy chủ. Điều đó bao gồm quyền truy cập vào mật khẩu, khóa API, chứng chỉ mật mã và cơ sở dữ liệu thông tin nhạy cảm. Chúng cũng có thể thực thi mã trên các máy chủ đó, biến chúng thành vectơ để tấn công các máy chủ dễ bị tấn công khác. Và, nhờ có AI, việc một hacker quyết tâm khai thác những lỗ hổng này khi chúng đã được tiết lộ là điều tương đối dễ dàng.

Là một người dùng, không nhiều. Lỗ hổng này ảnh hưởng đến các máy chủ chạy PHP và không nhất thiết nhắm mục tiêu trực tiếp đến người dùng nhưng nó có thể sử dụng các trang web bị xâm nhập để phát tán phần mềm độc hại và đánh cắp dữ liệu có giá trị khác. Nếu bạn cảm thấy thận trọng hơn, hãy kiểm tra tài khoản xã hội của các trang web và dịch vụ bạn thường sử dụng để xem liệu họ có đăng bất kỳ cập nhật nào trước khi truy cập hay không.

Nếu bạn có một trang web, thậm chí là một blog đơn giản, đã đến lúc kiểm tra xem trang web của bạn sử dụng phiên bản PHP nào, nếu có. Nếu bạn đang sử dụng một dịch vụ như Squarespace hoặc Wix thì bạn hoàn toàn yên tâm vì những dịch vụ đó không hỗ trợ PHP.

Khách hàng của Hostinger, GoDaddy, Bluehost hoặc các dịch vụ lưu trữ web khác nên thận trọng hơn. GoDaddy nói rằng bất kỳ trang web nào sử dụng PHP nên cho rằng nó bị ảnh hưởng và cập nhật lên bản phát hành cố định càng sớm càng tốt. Nó cũng nói rằng các trang web chạy PHP 8.1 trở lên nên nâng cấp lên phiên bản mới hơn vì chúng không còn được hỗ trợ và sẽ không có bản sửa lỗi chính thức sắp tới.

Những người sử dụng dịch vụ lưu trữ được quản lý nên kiểm tra với nhà cung cấp của họ để biết khi nào họ nên triển khai bản sửa lỗi. Nếu bạn bán sản phẩm hoặc dịch vụ hoặc có bất kỳ dữ liệu nhạy cảm nào trên máy chủ của mình, tốt nhất bạn nên vô hiệu hóa trang web của mình cho đến khi máy chủ của bạn vá phiên bản PHP của họ.