Cơ quan An ninh Quốc gia Hoa Kỳ (NSA) đã đưa ra cảnh báo khẩn cấp vào thứ Tư về việc phát hiện hai lỗ hổng bảo mật nghiêm trọng trong ngôn ngữ lập trình PHP. Tổ chức PHP Foundation đã nhanh chóng phát hành các bản vá lỗi.
PHP là ngôn ngữ lập trình phía máy chủ được sử dụng rộng rãi, chiếm khoảng 70% các trang web trên internet, tương đương hơn 33 triệu trang web. WordPress, một hệ thống quản lý nội dung phổ biến, cũng sử dụng PHP.
NSA cảnh báo rằng nếu các trang web không thể vá lỗi ngay lập tức, chúng nên được gỡ bỏ khỏi mạng cho đến khi được sửa chữa. Các lỗ hổng này cho phép kẻ tấn công xâm nhập vào hệ thống tệp của máy chủ hoặc cơ sở dữ liệu của ứng dụng web.
Điều đáng chú ý là các lỗ hổng này đã tồn tại trong mọi phiên bản PHP kể từ phiên bản 5, ra mắt vào năm 2004. Các trang web không chạy các phiên bản PHP tương đối mới sẽ cần cập nhật, vì PHP 8.1 trở về trước không còn được hỗ trợ. Khuyến nghị là cập nhật máy chủ web lên phiên bản PHP hiện tại là 8.5.12.
Vậy làm thế nào mà hai lỗ hổng phổ biến, tồn tại hàng thập kỷ này lại đột ngột được phát hiện? Chính là nhờ Trí tuệ Nhân tạo (AI), đặc biệt là từ OpenAI và Google Wiz.
Công ty kiểm thử bảo mật Calif, tham gia sáng kiến “Patch the Planet” của OpenAI, đã phát hiện một trong những lỗ hổng này. Theo OpenAI, họ đã công bố phát hiện này trong một bài đăng trên blog. Tương tự, đội ngũ Wiz cũng sử dụng AI, cụ thể là tác nhân AI bảo mật Wiz Atlas, Gemini 4 Argon và GPT-5.6 Sol, để tìm ra nhiều lỗ hổng trong PHP.
Cả OpenAI và Wiz đều tuân thủ các quy trình nghiên cứu bảo mật có trách nhiệm, làm việc với PHP để vá lỗi trước khi công bố rộng rãi. Sau đó, họ cùng nhau làm rõ những gì đã phát hiện và thử nghiệm các bản vá, với sự tham gia của nhiều bên khác.
Wiz đã gửi lời cảm ơn đến Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft và Vercel. WordPress cũng đã đưa ra tuyên bố, nhấn mạnh rằng lỗ hổng này không dành riêng cho WordPress, và các trang web chạy CMS này cần vá máy chủ của họ và làm việc với các nhà cung cấp dịch vụ lưu trữ web để đảm bảo an toàn.
OpenAI cho biết các lỗ hổng này đã được các nhà nghiên cứu phát hiện trước khi tin tặc khai thác. Do đó, chưa có báo cáo về việc bị tấn công.
Trước đây, những lỗ hổng này quá khó để tin tặc khai thác. Tuy nhiên, với sự phát triển của AI, điều này không còn là rào cản. Các mô hình ngôn ngữ lớn (LLM) có thể giúp điều chỉnh các cuộc tấn công cho các phiên bản, cấu hình và bố cục bộ nhớ PHP khác nhau, Wiz cảnh báo.
Nói cách khác, đây là loại vấn đề bảo mật được phát hiện và ngăn chặn nhờ AI, nhưng cũng trở thành rủi ro cao chính vì AI.
Hiện tại, vấn đề đã được công khai, tin tặc đã nắm rõ thông tin. Cuộc chạy đua đang diễn ra để các trang web trên toàn cầu vá hàng chục triệu trang web trước khi tin tặc tấn công những trang chưa được vá. Do đó, NSA khuyến cáo rằng nếu không thể vá ngay lập tức, nên gỡ bỏ trang web khỏi mạng cho đến khi hoàn thành việc sửa lỗi. Theo TechCrunch.
