Cơ quan An ninh Mạng Hoa Kỳ (CISA) đã xác nhận rằng tin tặc đang tích cực khai thác một cặp lỗ hổng bảo mật nghiêm trọng trong phần mềm web PHP phổ biến, đồng thời yêu cầu các cơ quan liên bang phải vá hệ thống trong vòng ba ngày tới.
Cảnh báo khẩn cấp này được đưa ra chưa đầy một tuần sau khi các nhà phát triển ngôn ngữ lập trình web PHP ra mắt bản vá lỗi cho hai lỗ hổng này. Các lỗ hổng này cho phép tin tặc xâm nhập từ xa vào hệ thống dễ bị tấn công mà không cần mật khẩu. Phần mềm PHP được cho là đang được sử dụng bởi khoảng 70% các máy chủ web, đặt các trang web và ứng dụng lớn vào tình trạng rủi ro. Mức độ nghiêm trọng của các lỗ hổng đã khiến một số chính phủ và công ty lớn phải tạm thời gỡ bỏ các trang web của họ để sửa chữa.
Mặc dù các lỗ hổng được đánh giá là nghiêm trọng, có khả năng gây hại cao nếu bị khai thác, nhưng các nhà nghiên cứu bảo mật cho biết việc phát triển mã khai thác ban đầu khá khó khăn, dù không phải là không thể. Việc khai thác trong thực tế hiện nay càng tạo thêm áp lực lên các tổ chức phải vá hệ thống của họ để ngăn chặn các hành vi xâm phạm độc hại, gián đoạn hoạt động và vi phạm dữ liệu.
CISA không cung cấp chi tiết về việc ai đang khai thác các lỗ hổng này trong tuyên bố ngày thứ Hai, nhưng tuyên bố của họ được đưa ra ngay sau khi các nhà nghiên cứu bảo mật cho biết họ đã tìm thấy bằng chứng về việc các lỗ hổng PHP đang bị khai thác.
Các lỗ hổng, được gọi là PHP2Shell, khai thác các điểm yếu trong phần mềm vốn không bị phát hiện trong nhiều năm. Chúng ban đầu được phát hiện cách đây hai năm, nhưng tổ chức phi lợi nhuận duy trì phần mềm cho biết không có cách thực tế nào để tin tặc khai thác chúng, do đó các lỗ hổng không được vá. Tình hình thay đổi vào đầu năm nay khi các nhà nghiên cứu tại công ty bảo mật Calif phát hiện ra cách khai thác hai lỗ hổng tiềm ẩn này với sự hỗ trợ của mô hình trí tuệ nhân tạo (AI).
Hai lỗ hổng trong PHP là một trong vô số các điểm yếu chưa được phát hiện hoặc bị xếp hạng thấp ưu tiên trong nhiều năm, nhưng nay lại gây ra rủi ro do sự tiến bộ của các mô hình AI trong việc tìm kiếm và khai thác lỗ hổng, bao gồm cả việc liên kết nhiều lỗi với nhau.
PHP là một trong nhiều công nghệ web cũ kỹ giúp duy trì hoạt động của internet và các công nghệ hiện đại, nhưng lại thiếu nguồn lực và tài trợ trong nhiều năm, khiến các dự án mã nguồn mở như PHP gặp khó khăn trong việc chi trả cho các đánh giá bảo mật có thể đã phát hiện ra các lỗ hổng sớm hơn. Theo tin từ TechCrunch.
