Chính phủ Mỹ đã phát đi cảnh báo khẩn sau khi xác nhận hai lỗ hổng nghiêm trọng trong PHP đang bị khai thác ngoài thực tế. Các lỗi này có thể cho phép kẻ tấn công thực thi mã từ xa trên máy chủ mà không cần xác thực, buộc các cơ quan dân sự liên bang phải gấp rút cập nhật bản vá.

Theo TechCrunch, ngày 27/10, Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) đã bổ sung hai lỗ hổng mang tên “PHP2Shell” vào danh mục Known Exploited Vulnerabilities (KEV) - danh sách các lỗ hổng đã bị khai thác ngoài thực tế. CISA yêu cầu các cơ quan dân sự liên bang hoàn tất việc vá lỗi trước ngày 29/10.

Hai lỗ hổng nói trên là CVE-2026-109618 và CVE-2026-109619. Chúng cho phép thực thi mã từ xa trên các hệ thống bị ảnh hưởng mà không cần qua bước xác thực. Do PHP được sử dụng rộng rãi trên các website trên toàn cầu, nguy cơ có thể dẫn đến gián đoạn diện rộng hoặc rò rỉ dữ liệu nếu các cuộc tấn công lan rộng.

Nhóm phát triển PHP đã phát hành bản cập nhật bảo mật để khắc phục các lỗ hổng này vào ngày 21/10. Tuy nhiên, sau đó đã xuất hiện hoạt động khai thác ngoài thực tế, buộc các cơ quan chức năng và doanh nghiệp đẩy nhanh việc ứng phó. Một số cơ quan và tập đoàn lớn thậm chí đã tạm ngừng vận hành website để triển khai bản vá.

Sự cố lần này bắt nguồn từ một điểm yếu bảo mật đã tồn tại trong nhiều năm nhưng chưa được xử lý dứt điểm. Trong đợt kiểm toán bảo mật năm 2024, vấn đề liên quan đã được phát hiện, nhưng khi đó chưa chứng minh được khả năng khai thác trong thực tế nên chưa được sửa.

Tình hình thay đổi trong năm nay khi AI được tận dụng trong quá trình nghiên cứu. Nhóm nghiên cứu của công ty bảo mật Calyphe cho biết họ đã sử dụng một mô hình AI để kết hợp nhiều lỗi đã biết, từ đó thực hiện thành công cuộc tấn công thực thi mã từ xa và báo cáo lại cho nhóm phát triển PHP.

Sau đó, một máy chủ giám sát do một nhà nghiên cứu bảo mật thiết lập cũng ghi nhận dấu vết của hoạt động thực thi mã từ xa ngoài thực tế. Dù vậy, CISA không công bố chi tiết về tác nhân tấn công cũng như các tổ chức bị ảnh hưởng.

Giới an ninh mạng đánh giá vụ việc cho thấy AI có thể biến những lỗ hổng vốn khó khai thác trước đây thành mối đe dọa thực tế. Sự việc cũng làm dấy lên lo ngại về năng lực quản trị bảo mật của các dự án mã nguồn mở, đặc biệt trong bối cảnh thiếu nhân lực và ngân sách.

Nhóm phát triển PHP khuyến nghị người dùng cập nhật ngay lên các phiên bản đã được vá lỗi gồm 8.5.12, 8.4.27, 8.3.36 và 8.2.35.