Ủy ban Bảo vệ Thông tin Cá nhân Hàn Quốc (PIPC) vừa phát đi cảnh báo khẩn tới các cơ quan nhà nước và doanh nghiệp tư nhân về lỗ hổng bảo mật mới trong PHP, cho rằng sự cố này có thể dẫn tới xâm nhập máy chủ web và rò rỉ dữ liệu cá nhân nếu không được xử lý kịp thời.

Theo PIPC, lỗ hổng mang tên “PHP2Shell” được công bố ngày 21, cho phép kẻ tấn công thực thi lệnh tùy ý trên máy chủ web mà không cần đăng nhập hay xác thực.

PHP hiện là một trong những ngôn ngữ lập trình được sử dụng phổ biến để phát triển và vận hành dịch vụ web. Cơ quan này cảnh báo khi lỗ hổng bị khai thác, rủi ro không chỉ dừng ở việc chiếm quyền máy chủ web mà còn có thể lan sang cơ sở dữ liệu liên kết, nơi lưu trữ dữ liệu cá nhân của người dùng.

PIPC đặc biệt lưu ý tới các công cụ quản trị cơ sở dữ liệu viết trên nền PHP như phpMyAdmin. Nếu các công cụ này bị mở công khai trên Internet hoặc được cấp quyền truy cập cơ sở dữ liệu quá rộng, kẻ tấn công có thể lợi dụng để tiếp cận lượng lớn dữ liệu cá nhân.

Trước nguy cơ trên, PIPC yêu cầu các đơn vị kiểm tra phiên bản PHP đang sử dụng, áp dụng ngay bản vá bảo mật mới nhất và gỡ bỏ các dịch vụ web không cần thiết.

Cơ quan này đồng thời đề nghị hạn chế truy cập trực tiếp từ Internet tới các công cụ quản trị cơ sở dữ liệu như phpMyAdmin, rà soát phiên bản phần mềm để cập nhật kịp thời và loại bỏ các tệp cấu hình không cần thiết. Với các tài khoản dùng cho dịch vụ web, quyền truy cập vào cơ sở dữ liệu chứa dữ liệu cá nhân cũng cần được thu hẹp ở mức tối thiểu.

Ngoài ra, PIPC khuyến nghị các tổ chức theo dõi dấu hiệu truy cập bất thường, bao gồm truy vấn hoặc trích xuất dữ liệu quy mô lớn từ cơ sở dữ liệu. Cơ quan này cũng yêu cầu kiểm tra việc sử dụng phần mềm PHP trong các hệ thống do bên ngoài phát triển, vận hành hoặc được triển khai trên môi trường hosting.

Ông Yang Cheong-sam, Giám đốc Ban Thư ký PIPC, cho biết lỗ hổng lần này có thể gây thiệt hại lớn vì không chỉ làm website bị xâm nhập mà còn có nguy cơ làm lộ dữ liệu cá nhân của nhiều người dùng lưu trong cơ sở dữ liệu liên kết. Theo ông, các tổ chức cần khẩn trương cập nhật bản vá và tăng cường kiểm soát quản trị, trong đó có việc rà soát các lượt truy cập đáng ngờ, để ngăn chặn nguy cơ rò rỉ dữ liệu cá nhân.