Hai lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trong PHP, ngôn ngữ lập trình đang được sử dụng trên khoảng 70% website toàn cầu, làm dấy lên cảnh báo an ninh mạng trên diện rộng. Tại châu Âu, một số cơ quan nhà nước, bệnh viện và trường học đã phải tạm ngừng truy cập website để giảm nguy cơ bị tấn công.

Thông tin về lỗ hổng ban đầu được chia sẻ trên một diễn đàn công khai. Sau đó, tổ chức quản lý PHP đã xác nhận vấn đề là có thật.

Cơ quan An ninh Internet Hàn Quốc (KISA) và Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) đều khuyến nghị người dùng cập nhật ngay. Trung tâm An ninh mạng Quốc gia Anh (NCSC) và CERT-EU của Liên minh châu Âu cũng phát đi cảnh báo về rủi ro liên quan.

Theo công ty an ninh mạng Theori, lỗ hổng mang tên PHP2Shell bắt nguồn từ lỗi nằm trong chính engine của PHP, không phụ thuộc vào mã triển khai của ứng dụng web. Kẻ tấn công có thể thực thi mã từ xa trên máy chủ mà không cần xác thực để chiếm quyền điều khiển, hoặc đọc bộ nhớ của tiến trình.

Các phiên bản bị ảnh hưởng gồm PHP 8.2.34, 8.3.35, 8.4.26, 8.5.11 trở xuống. Toàn bộ dòng PHP 8.1 trở về trước đã hết hỗ trợ, bao gồm 7.x và 5.x, cũng nằm trong diện rủi ro. Phía PHP khuyến nghị cập nhật ngay lên các bản vá mới nhất như 8.2.35, 8.3.36, 8.4.27 và 8.5.12.

Lỗ hổng này được cho là đã tồn tại âm thầm hơn 10 năm và được phát hiện nhờ AI. Thông tin được công bố thông qua công ty an ninh mạng Wiz và một dự án do OpenAI dẫn dắt.

Theo TechCrunch, Wiz đã phát hiện lỗ hổng bằng cách kết hợp tác nhân AI bảo mật nội bộ Wiz Atlas, Gemini 4 Argon của Google và GPT-5.6 Sol của OpenAI. Trong khi đó, công ty kiểm thử bảo mật Calif cũng tìm ra một lỗ hổng PHP thông qua dự án Patch the Planet do OpenAI triển khai, nhằm chủ động phát hiện và sửa lỗi trong phần mềm mã nguồn mở.

Calif cho biết đã sử dụng mô hình AI GPT-5.6 Sol của OpenAI để phát hiện lỗ hổng này. Mức độ ảnh hưởng được đánh giá là đáng kể.

Theo The Atlantic, ngày 21/10 theo giờ địa phương, nhiều website của cơ quan công quyền, bệnh viện và trường học tại châu Âu đã tạm ngừng truy cập để giảm nguy cơ bị xâm nhập. Danh sách này gồm cơ quan y tế Phần Lan, cảng Rotterdam, cảnh sát Paris và cộng đồng trực tuyến 4Chan. Cơ quan An ninh Quốc gia Mỹ (NSA) cũng khuyến nghị các doanh nghiệp chưa thể vá lỗi ngay nên tạm dừng những dịch vụ liên quan.

The Atlantic nhận định quá trình triển khai bản vá có thể kéo dài nhiều tuần. Trong thời gian đó, hàng chục triệu máy chủ, cơ sở dữ liệu và thiết bị có thể bị phơi bày trước nguy cơ tấn công, trong khi đã xuất hiện các nỗ lực khai thác có thể được AI hỗ trợ.

Ông Sam Rubin, Phó chủ tịch cấp cao của Palo Alto Networks, cho rằng PHP là một trong những công nghệ nền tảng nâng đỡ Internet.

Internet đã vận hành trong nhiều thập kỷ với không ít lỗ hổng, nhưng vẫn giữ được thế cân bằng vì số lượng hacker có đủ kỹ năng không nhiều, còn việc tìm kiếm và khai thác lỗ hổng thường cần thời gian. Tuy nhiên, theo The Atlantic, AI đang làm thay đổi cán cân này.

Số lỗ hổng phần mềm được phát hiện mỗi tháng đã tăng gấp đôi trong một năm qua. Thời gian để hacker biến các lỗ hổng này thành cuộc tấn công thực tế, theo một số ước tính, đã rút từ vài tuần xuống chỉ còn vài giờ. The Atlantic cho biết có những cuộc xâm nhập được tự động hóa bằng AI chỉ mất 39 giây.

Ở chiều ngược lại, bên phòng thủ cũng đang ứng dụng AI. Tuy nhiên, các chuyên gia dự báo mức độ bất đối xứng giữa bên tấn công và bên phòng vệ sẽ còn gia tăng. Hacker có thể nhanh chóng áp dụng công nghệ mới, trong khi doanh nghiệp buộc phải thận trọng hơn do phải cân nhắc rủi ro vận hành. Theo The Atlantic, các lĩnh vực như bệnh viện hay lưới điện khó có thể chấp nhận nguy cơ công cụ bảo mật AI vô tình làm gián đoạn thiết bị duy trì sự sống hoặc gây mất điện.

Cùng ngày thông tin về lỗ hổng PHP được công bố, nhóm phát triển Node.js cũng thông báo một loạt lỗ hổng có mức độ rủi ro cao.