Cơn chấn động mang tên PHP2Shell
Hai lỗ hổng mang mã CVE-2026-109618 và CVE-2026-109619, được gọi chung là PHP2Shell, bị chấm 9,2 trên thang điểm 10 về mức độ nghiêm trọng vì cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực. Thông tin chi tiết bị rò rỉ từ ngày 20/10, trước thời điểm công bố phối hợp, buộc nhóm bảo mật PHP phát hành bản vá ngày 21/10 cho các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35, kèm các bản vá tối giản cho PHP 7.4 đến 8.1.
Hệ quả lan rộng nhanh chóng. Trang web chính phủ ở nhiều nước châu Âu tạm ngừng hoạt động khi các nhà vận hành gấp rút vá lỗi, một số dịch vụ khác cũng chủ động đóng máy chủ để phòng ngừa. Ông Dane Knecht, Giám đốc công nghệ của Cloudflare, cho biết công ty đã phát hiện các đợt tấn công từ sớm và triển khai quy tắc tường lửa khẩn cấp, sau đó ghi nhận hàng triệu nỗ lực khai thác. Hãng an ninh mạng Huntress tóm gọn mức độ phổ biến của ngôn ngữ này:
PHP có mặt ở khắp mọi nơi.
Bà Elizabeth Barron cho biết quỹ chưa thấy bằng chứng tin tặc khai thác được lỗ hổng trước khi công bố, hay trên các hệ thống đã vá. PHP Foundation đang phối hợp chặt chẽ với OpenAI cùng các công ty an ninh mạng Wiz và Calif để điều tra và xử lý. Theo nhóm bảo mật PHP, rủi ro cao nhất thuộc về các máy chủ dùng mod_php của Apache, nơi mã khai thác có thể chạy trước cả mã ứng dụng.
Gánh nặng trên vai một người
PHP là nền tảng của WordPress, hệ thống tự nhận vận hành khoảng 40% số trang web trên thế giới. Vậy mà theo bà Barron, PHP Foundation chỉ có một nhân viên toàn thời gian, chính là bà, cùng 14 cộng tác viên phần lớn làm bán thời gian.
Thành viên hội đồng quản trị đều là tình nguyện viên không lương, còn nguồn tiền đến từ quyên góp và tài trợ. Bà thẳng thắn nhận định:
Với mức độ phụ thuộc như vậy, rõ ràng PHP đang thiếu kinh phí trầm trọng.
Theo bà, những sự kiện vừa qua đã cho thấy doanh nghiệp và chính phủ dựa vào PHP sâu sắc đến mức nào. Khoảng cách giữa tầm quan trọng của ngôn ngữ này và nguồn lực dành cho nó vì thế càng trở nên khó lý giải.
Trí tuệ nhân tạo: trợ thủ và gánh nặng
Với PHP Foundation, trí tuệ nhân tạo là con dao hai lưỡi. Tác động của AI được bà Barron chỉ ra ở cả hai chiều:
- Giúp các nhà nghiên cứu phát hiện những lỗ hổng đã tồn tại suốt một thập kỷ
- Giúp lập trình viên làm việc hiệu quả hơn
- Khiến số đề xuất thay đổi mã gửi tới dự án tăng gần gấp đôi so với một năm trước
- Trong khi số người đóng góp không hề tăng gấp đôi
Bà nhấn mạnh việc thẩm định các đóng góp và báo cáo lỗi đòi hỏi khối lượng công sức cùng kinh nghiệm khổng lồ của con người. Nói cách khác, máy móc có thể tạo ra nhiều mã hơn, nhưng trách nhiệm kiểm tra từng dòng vẫn đè nặng lên một nhóm nhỏ những người bảo trì.
Lời cảnh tỉnh cho hạ tầng số
Rủi ro chưa dừng lại. Khi bản vá được công bố, kẻ tấn công có thể so sánh mã cũ và mới để tìm ra điểm yếu, trong khi nhiều trang web vẫn chạy phiên bản lỗi thời. PHP 8.2 sẽ hết vòng đời hỗ trợ vào ngày 31/12/2026, đồng nghĩa không còn nhận bản vá bảo mật, còn các phiên bản từ 8.1 trở về trước đã không được dự án cập nhật.
Sự cố lần này vì thế không chỉ là chuyện kỹ thuật. Nó đặt ra câu hỏi về trách nhiệm của những tập đoàn và cơ quan nhà nước đang hưởng lợi miễn phí từ phần mềm nguồn mở, nhưng lại đóng góp rất ít để duy trì sự an toàn của chính nền móng mà họ đứng trên.
