Cơ quan an ninh mạng quốc tế cảnh báo hàng triệu website có thể phải tạm ngừng hoạt động trước lỗ hổng nghiêm trọng của PHP

NỘI DUNG

Ngôn ngữ lập trình PHP – nền tảng công nghệ đang âm thầm vận hành phần lớn mạng internet toàn cầu – vừa bị phát hiện hai lỗ hổng bảo mật nghiêm trọng cùng đạt điểm số 9,2 trên thang đo độ nguy hiểm CVSS v4.0. Trong thông cáo an ninh khẩn cấp, nhóm phát triển PHP đã hối thúc tất cả người dùng và quản trị viên hệ thống trên toàn thế giới phải tiến hành nâng cấp ngay khi các bản vá chính thức được phát hành vào lúc 14 giờ GMT ngày thứ Tư.

Theo Đội Ứng cứu Khẩn cấp Máy tính của Liên minh Châu Âu (CERT-EU), mức điểm 9,2 chỉ ra nguy cơ cực kỳ nguy hiểm về khả năng thực thi mã từ xa mà không cần xác thực (unauthenticated remote code execution). Lỗ hổng này cho phép tin tặc gửi các gói lệnh độc hại qua mạng internet để trực tiếp chạy các đoạn mã tùy ý trên máy chủ mà không cần có tài khoản đăng nhập, từ đó đánh cắp toàn bộ dữ liệu cơ sở dữ liệu, thay đổi giao diện trang web hoặc chiếm đoạt toàn quyền kiểm soát hệ thống hạ tầng máy chủ.

"Các tổ chức cần chuẩn bị sẵn sàng để vá lỗi ngay lập tức cho các tài sản bị ảnh hưởng; những đơn vị chưa thể triển khai cập nhật nên cân nhắc việc tạm thời ngắt kết nối website khỏi môi trường mạng." - Cơ quan An ninh Mạng CERT-EU

Điểm nguy hiểm 9,2/10: Lỗ hổng cho phép kẻ tấn công thực thi mã độc từ xa qua mạng mà không cần bất kỳ bước xác thực danh tính nào.

Nguy cơ sụp đổ hệ thống: GoDaddy cảnh báo lỗ hổng có thể dẫn đến việc đánh cắp dữ liệu khách hàng, bôi bẩn giao diện hoặc chiếm quyền kiểm soát máy chủ hoàn toàn.

Phạm vi ảnh hưởng của sự cố này là vô cùng to lớn bởi PHP là ngôn ngữ máy chủ phổ biến bậc nhất hiện nay. Hãng bảo mật Huntress nhấn mạnh rằng PHP hiện diện ở khắp mọi nơi, từ các hệ thống quản trị nội dung khổng lồ như WordPress, Drupal, Joomla, Magento cho đến các nền tảng lưu trữ chia sẻ (shared hosting) và bảng điều khiển máy chủ.

Theo cảnh báo từ CERT-EU và ACSC, mọi phiên bản PHP từ PHP 5 trở đi đều có thể nằm trong diện bị ảnh hưởng.

Trước tình hình các đợt tấn công thăm dò ban đầu đã bắt đầu xuất hiện trên mạng, Giám đốc Công nghệ (CTO) của hãng bảo mật Cloudflare, ông Dane Knecht, cho biết công ty đã lập tức cập nhật các quy tắc tường lửa (WAF) để ngăn chặn tạm thời. Tuy nhiên, ông nhấn mạnh đây chỉ là giải pháp tình thế ngắn hạn nhằm kéo dài thời gian và các quản trị viên phải cập nhật mã nguồn PHP lên bản vá mới nhất ngay lập tức. Trong khi đó, Wordfence cảnh báo người dùng WordPress rằng cơ chế cập nhật tự động của nền tảng sẽ không thể tự sửa lỗi máy chủ, đòi hỏi các chủ trang web phải trực tiếp can thiệp kỹ thuật.

Hàng triệu trang web trong diện nguy hiểm: Toàn bộ các website chạy trên nền tảng WordPress, Drupal, Joomla đều phụ thuộc vào máy chủ cài đặt PHP.

Cập nhật tự động không thể xử lý: Wordfence khuyến cáo các quản trị viên phải chủ động xác định người phụ trách hạ tầng để nâng cấp phiên bản PHP trên máy chủ.

Khủng hoảng an ninh mạng liên quan đến PHP là lời cảnh tỉnh đắt giá cho toàn bộ hệ sinh thái kỹ thuật số hiện đại. Sự phụ thuộc quá lớn vào các công nghệ mã nguồn mở cốt lõi mà thiếu đi quy trình rà soát, bảo trì định kỳ có thể biến toàn bộ chuỗi cung ứng dịch vụ trực tuyến của các doanh nghiệp thành 'mồi ngon' cho tội phạm mạng chỉ sau một đêm.

Đối với mỗi tổ chức và doanh nghiệp, việc xây dựng kế hoạch ứng phó sự cố khẩn cấp, chủ động phân loại tài sản kỹ thuật số và duy trì kênh phối hợp chặt chẽ giữa bộ phận bảo mật và nhà cung cấp dịch vụ lưu trữ là yếu tố sống còn. Tinh thần chủ động, tính kỷ luật trong quản trị công nghệ và sự dũng cảm tạm ngừng dịch vụ để bảo vệ dữ liệu khách hàng chính là thước đo đạo đức và năng lực quản trị rủi ro bền vững trong thời đại số hóa.

Kiểm kê toàn diện hệ thống: Trung tâm An ninh Mạng Úc (ACSC) hối thúc các tổ chức khẩn trương rà soát toàn bộ các hệ thống có sử dụng PHP trong mạng lưới.

Chủ động phòng vệ từ sớm: Sẵn sàng phương án đưa website tạm ngắt kết nối internet nếu chưa kịp triển khai bản vá nhằm triệt tiêu cửa ngõ xâm nhập của mã độc.

BỐI CẢNH HOẶC NHỮNG SỰ KIỆN LIÊN QUAN

Sự kiện này bắt đầu từ việc nhóm phụ trách an ninh của ngôn ngữ lập trình PHP phát hiện hai lỗ hổng thực thi mã từ xa cực kỳ nghiêm trọng và thông báo kế hoạch phát hành bản vá khẩn cấp trên toàn cầu vào ngày 21 tháng 10 năm 2026, kích hoạt báo động đỏ trên toàn mạng internet.

Bên cạnh đó, nút thắt sâu xa của vấn đề nằm ở vị thế áp đảo của PHP trong kiến trúc web đương đại, khi ngôn ngữ này cung cấp sức mạnh vận hành cho gần 80% các trang web có sử dụng ngôn ngữ lập trình phía máy chủ, bao gồm hầu hết các nền tảng CMS phổ biến như WordPress và Joomla. Việc một lỗ hổng cốt lõi xuất hiện trên quy mô toàn bộ các phiên bản từ PHP 5 trở đi đã đặt các cơ quan an ninh mạng quốc tế như CERT-EU và ACSC vào tình thế báo động cao độ, buộc phải đưa ra khuyến cáo chưa từng có tiền lệ là tạm thời 'tắt điện' các website dễ bị tổn thương để bảo vệ dữ liệu.