Cỗ máy vô hình phía sau mỗi trang web
PHP làm việc ở hậu trường. Khi ai đó mở một trang web, máy chủ chạy PHP sẽ thu thập chữ, hình ảnh và dữ liệu, ghép thành trang hoàn chỉnh rồi gửi tới trình duyệt. Người truy cập không bao giờ thấy nó, phần lớn chủ website cũng hiếm khi chạm trực tiếp vào nó, vậy mà nó lặng lẽ định hình những gì hiện lên trên vô số màn hình mỗi ngày.
Tầm ảnh hưởng của PHP là khổng lồ. Theo công cụ theo dõi công nghệ web W3Techs, PHP vận hành gần 70% số website có thể xác định ngôn ngữ lập trình. Nó là động cơ của WordPress, phần mềm đứng sau khoảng 40% tổng số website, từ blog cá nhân, trang của doanh nghiệp nhỏ đến cửa hàng trực tuyến, trang tin tức và cổng thông tin chính phủ. Khi sự cố xảy ra ở tầng sâu như vậy, hậu quả không giống một ổ khóa hỏng, mà như đánh rơi chiếc chìa khóa vạn năng của cả một thành phố.
Vì sao điểm số 9,2 khiến giới bảo mật báo động
Hai lỗ hổng được chấm 9,2/10 trên thang CVSS phiên bản 4.0, hệ thống tiêu chuẩn của ngành dùng để đo mức độ nghiêm trọng. CERT-EU cho biết điểm số này đồng nghĩa với khả năng thực thi mã từ xa không cần xác thực: kẻ tấn công có thể ra lệnh cho một máy chủ dễ tổn thương qua Internet mà không cần mật khẩu hay tài khoản.
Bởi điểm yếu nằm trong chính ngôn ngữ chứ không ở riêng một website nào, một lỗ hổng duy nhất mở cùng một cánh cửa trên hàng triệu máy chủ cùng lúc. Ai khai thác được nó gần như nắm quyền kiểm soát website. Nhà cung cấp dịch vụ lưu trữ GoDaddy cảnh báo hậu quả có thể là dữ liệu bị đánh cắp, trang web bị thay đổi giao diện hoặc toàn bộ hệ thống bị chiếm quyền, còn giám đốc công nghệ của Cloudflare cho biết những cuộc tấn công đầu tiên đã bắt đầu xuất hiện.
