Ối dồi ôi, tin xịt vừa rồi các bro ơi! Một lỗ hổng bảo mật siêu to khổng lồ vừa được phát hiện trong PHP - ngôn ngữ lập trình mà đang "gánh team" cho hàng triệu website trên toàn cầu đây này. Plot twist là cái lỗ hổng này đã "ngủ yên" hơn cả thập kỷ mà giờ mới ai đó phát hiện ra nhờ... AI!
Nhưng chuyện còn drama hơn nữa: bản vá lỗi bị leak sớm, vô tình tạo cơ hội cho hacker "flexing" kỹ năng tấn công. Chính phủ Mỹ đã phải lên mạng xã hội cảnh báo gấp, còn các nước như Hà Lan và Phần Lan thì quyết liệt đến mức tắt luôn website chính phủ để phòng thân. Căng đét!
PHP là gì mà hot thế?
Nói đơn giản thì PHP là một ngôn ngữ lập trình mã nguồn mở, chuyên "phục vụ" các ứng dụng web. Ngôn ngữ này phổ biến vô cùng luôn!
Theo WSJ và Reuters đưa tin ngày 21/10 (giờ địa phương), team phát triển PHP đã phải tung bản cập nhật khẩn cấp để xử lý hai lỗ hổng bảo mật nghiêm trọng. Và nghe xong các bạn sẽ sốc: PHP đang được sử dụng bởi khoảng 70% tổng số trang web mà có thể xác định được ngôn ngữ lập trình nền tảng!
Nếu hacker khai thác được các lỗ hổng này, họ có thể cài phần mềm độc hại lên máy chủ hoặc "cuỗm" data mà không cần đăng nhập gì cả. Cả hai lỗ hổng này đều được chấm 9,2/10 điểm theo Hệ thống Đánh giá Lỗ hổng Phổ biến (CVSS) - thuộc mức "nghiêm trọng" (Critical), tức là nguy hiểm nhất luôn á!
AI lập công, con người... "mù tịt"
Những lỗ hổng này được phát hiện nhờ AI trong quá trình kiểm tra bảo mật. Cách đây vài tháng, công ty bảo mật Calypso (trụ sở tại Mỹ) đã tìm ra lỗ hổng thông qua các mô hình AI của OpenAI. Còn Wiz - công ty bảo mật liên kết với Google cũng confirm vấn đề tương tự bằng AI của riêng họ.
Mặc dù một số lỗ hổng đã tồn tại hơn một thập kỷ và từng có cảnh báo trong đợt kiểm tra bảo mật năm 2024, nhưng việc sửa lỗi bị "pending" do team ngồi tranh luận mãi về khả năng bị khai thác thực tế, cộng với lo ngại về tương thích với các chương trình hiện có. Đúng là "họp hành mãi chẳng thành viện"
Drama leak bản vá sớm
Tình hình càng rối thêm khi vào ngày 21/10, công ty bảo mật Chainguard đã tự ý phát hành phần mềm đã vá sớm hơn khoảng sáu giờ so với kế hoạch công bố chính thức. Nghe qua thì có vẻ tốt, nhưng thực ra là disaster! Vì nếu hacker lấy được phiên bản đã vá này, chúng có thể so sánh code trước và sau để tìm đúng vị trí lỗ hổng.
Trong khi đó, người dùng bình thường vẫn đang "trần truồng" chờ cập nhật. PHP Foundation đã "diss" Chainguard thẳng thừng, bảo là công ty này đã "đơn phương phá vỡ thỏa thuận bảo mật thông tin" (embargo) và "phớt lờ nỗ lực suốt nhiều tuần" để phối hợp công bố đồng loạt.
Để ứng phó, team PHP đã phải đẩy nhanh tiến độ và tung bản vá sớm hơn dự kiến (ban đầu là 22/10). Còn Chainguard thì tự bào chữa rằng việc phát hành là "không thể tránh khỏi" vì các cuộc tấn công đã thực sự diễn ra rồi. Drama quá trời drama!
Các chính phủ hành động gấp
Cơ quan An ninh Quốc gia Hoa Kỳ (NSA) đã lên platform X thông báo rằng "khuyến nghị tất cả các tổ chức và doanh nghiệp đang sử dụng PHP hãy chuẩn bị áp dụng các bản cập nhật để khắc phục hai lỗ hổng nghiêm trọng".
Một số quốc gia châu Âu như Hà Lan, Phần Lan, Đức, Pháp, Bỉ và Áo đã quyết định tạm thời đóng cửa các trang web chính phủ như biện pháp phòng ngừa trước khi áp dụng bản vá. Đúng là "phòng bệnh hơn chữa bệnh" nhỉ!
Thôi các bro nào đang dùng PHP thì nhanh tay update đi nhé, đừng để hacker "ăn thịt" mất dữ liệu mới khóc!
Nguồn: svvn.tienphong.vn