MỘT LỖ HỔNG NGHIÊM
TRỌNG ẢNH HƯỞNG ĐẾN 70% WEBSITE ĐANG KHIẾN GIỚI AN NINH MẠNG HOẢNG LOẠN
Thông tin chi tiết về một lỗ hổng nghiêm
trọng trong ngôn ngữ lập trình PHP, nền tảng vận hành của hơn 70% website trên thế giới đã được công bố. Nếu không khắc phục, lỗ hổng này sẽ cho phép tin
tặc dễ dàng chiếm quyền kiểm soát và xâm nhập hàng triệu website cùng thông tin
lưu trữ trên máy chủ. Trước tình hình đó, nhiều chính phủ châu Âu và các đơn vị vận hành, trong đó có Cảng Rotterdam, đã tạm ngừng hoạt động các website.
Cục Tín hiệu Australia, Cơ quan Phòng vệ mạng của Mỹ cùng các cơ quan tương tự tại Anh,
châu Âu và Nhật Bản đều đã cảnh báo các nhà phát triển web phải khẩn trương cập
nhật những hệ thống lõi, đồng thời cân nhắc tạm ngừng hoạt động website cho đến
khi có thể bảo đảm an toàn.
Tổ chức đứng sau ngôn ngữ miễn phí, mã nguồn mở này đã phát hành các bản cập nhật vá lỗ hổng, nhưng việc cập nhật hàng triệu hệ thống sử dụng PHP sẽ cần thời gian.
PHP là gì?
PHP thường được gọi là “xương sống của web”. Đây là một ngôn ngữ lập trình – tức một cách đưa ra chỉ dẫn cho máy tính – đã tồn tại từ năm 1997,
cho phép website quản lý dữ liệu người dùng nhập vào và xử lý thông tin ở phía
sau giao diện.
Sức mạnh của PHP nằm ở tính linh hoạt. Các
website sử dụng ngôn ngữ này cho đủ loại tác vụ, từ đăng nhập người dùng vào
tài khoản và vận hành cửa hàng trực tuyến đến truy vấn dữ liệu từ cơ sở dữ liệu
và hỗ trợ hoạt động của hàng triệu bài đăng blog, trang tin tức.
PHP chạy trên máy chủ thay vì máy tính cá
nhân của bạn. Điều đó có nghĩa là phần lớn chúng ta tương tác với PHP mỗi ngày
mà không hề nhìn thấy nó.
Diễn biến các mối lo ngại
Vào tháng 8, các nhà nghiên cứu an ninh mạng
thuộc công ty Wiz đã sử dụng công cụ của chính họ cùng những phiên bản mới nhất của các mô hình AI
Gemini của Google và ChatGPT của OpenAI để rà soát kho mã nguồn đồ sộ của PHP.
Nhóm Wiz tìm kiếm những điểm yếu ẩn trong mã lập trình mà kẻ tấn
công có thể xâu chuỗi lại với nhau để chiếm quyền kiểm soát hệ thống chạy PHP,
chỉ bằng cách gửi qua mạng một
yêu cầu được thiết kế tỉ
mỉ.
Chỉ trong vài ngày, họ đã tìm ra cách xâm
nhập các hệ thống chạy trên PHP của Drupal và WordPress, hai nền tảng được dùng trong phần
lớn các trang web.
Wiz đã liên hệ với nhóm bảo mật PHP để
thông báo về những lỗ hổng họ phát hiện. Đến cuối tháng 9, các nhà phát triển
PHP xác nhận vấn đề có tồn tại và âm thầm bắt tay vào khắc phục.
Trong lĩnh vực an ninh mạng, cách hành xử
có trách nhiệm khi phát hiện lỗi là giữ kín thông tin cho đến khi có bản vá. Lý
do là việc công khai có thể cung cấp cho tin tặc chỉ dẫn tường tận để khai thác lỗi đó.
Dường như đây cũng là kế hoạch của các nhà
phát triển PHP. Tuy nhiên, hôm qua, một người dùng trên Hacker News, một trang tin phổ biến trong giới công nghệ, đã
để lộ thông tin về các lỗ hổng bảo mật trước khi có bất kỳ bản vá nào sẵn sàng.
Sau vụ rò rỉ, các nhà phát triển PHP đã gấp
rút công khai xác nhận vấn đề vào ngày 21 tháng 10, đồng thời phát hành các bản
vá khẩn cấp sớm hơn dự kiến.
Việc triển
khai các bản vá không hề đơn giản. Do PHP nằm bên dưới hàng ngàn tiện ích mở rộng
(plugin), khung nền tảng (framework) và dịch vụ lưu trữ có quản lý (managed
hosting) của bên thứ ba, các trang web chỉ an toàn một khi từng tầng trong chuỗi
cung ứng tích hợp và triển khai bản sửa lỗi PHP.
Vì sao chuyện này cứ tái diễn?
Phần lớn internet được xây dựng trên những
công nghệ nền tảng do các lập trình viên phát triển và duy trì vì đam mê. Nhiều trường hợp trong số đó dựa vào thiện chí và các khoản quyên góp, thay vì nguồn tài trợ vững chắc từ doanh nghiệp.
Nhiều công cụ được phát triển lần đầu cách
đây hàng chục năm. Chúng chưa từng được thiết kế để hỗ trợ an toàn cho một thế
giới nơi mà hàng triệu website và hàng tỷ thiết bị sử dụng chúng để xử lý dữ liệu nhạy cảm và riêng
tư.
Vấn đề càng nghiêm trọng hơn bởi thực tế
là công tác bảo trì hiếm khi được
các tổ chức ưu tiên. Có
một sự thực phổ biến, là rất nhiều
công ty chỉ hiểu ở mức cơ bản nhất về toàn bộ các thành phần trong
chuỗi cung ứng của mình, dù là vật lý hay kỹ
thuật số.
Ngay cả trong những vụ việc thu hút nhiều
chú ý như lần này, nhiều doanh nghiệp thậm chí còn chẳng biết mình phụ thuộc vào phần mềm nào, chứ chưa nói đến việc biết phần mềm đó thực sự an toàn đến đâu.
Bạn nên làm gì?
Vấn đề này chủ yếu liên quan đến những
ai bảo trì website hoặc quản lý hạ tầng
kỹ thuật. Với họ, ưu tiên rất rõ ràng: vá hệ thống ngay khi có bản cập nhật, đồng
thời cân nhắc ngắt kết nối các hệ thống trọng yếu khỏi internet cho đến khi có thể chắc chắn về
độ an toàn của chúng.
Đối với người dùng internet thông thường,
những lỗ hổng này ảnh hưởng đến các máy chủ lưu trữ website, thay vì thiết bị
cá nhân của bạn. Tuy nhiên, vì một số website có thể tạm thời bị xâm nhập trong khoảng thời gian chờ vá
lỗi, bạn nên thận trọng khi nhập dữ liệu cá nhân nhạy cảm trên những website lạ
trong vài ngày tới.
Các nhà cung cấp dịch vụ đám mây lớn và
các công ty bảo mật đang triển khai những bộ lọc khẩn cấp, nhưng nỗ lực
ráo riết để bảo vệ mạng lưới
web trên toàn cầu mới chỉ bắt đầu.
Các nhóm an ninh mạng trên khắp thế giới
đang khẩn trương khống chế thiệt
hại. Nhưng quy mô của vấn đề này cần được xem như một hồi chuông cảnh tỉnh.
Các chính phủ và doanh nghiệp không thể lờ
đi khả năng chống chịu của chuỗi
cung ứng số. Cũng như các nhà sản xuất theo dõi những nhà cung cấp linh kiện vật
lý mà họ phụ thuộc, chúng ta nên kỳ vọng hạ tầng số phải truy xuất được mọi hệ thống và khung nền tảng mà nó dựa vào.
Thu thập những thông tin này là bước đầu
tiên để doanh nghiệp và chính phủ thực sự hiểu sự tồn vong trên môi trường số của mình phụ thuộc nặng nề đến mức nào vào những mã nguồn thiếu kinh phí và được duy trì bởi các tình
nguyện viên. Chừng nào doanh nghiệp chưa coi việc tài trợ cho các công cụ mã
nguồn mở nền tảng là một khoản đầu tư thiết yếu cho bảo mật, thay vì một khoản
từ thiện, những lỗ hổng như vậy sẽ
còn xuất hiện.
Tác giả
 |
| Andrew Cullen |
Nghiên cứu
viên khách mời, Trường Khoa học Máy tính và Hệ thống Thông tin, Đại học
Melbourne
Tuyên bố
công khai
Andrew Cullen
là thành viên hội đồng quản trị tại Music Technology Australia, thành viên của Ủy
ban Trao đổi Kỹ thuật Trí tuệ Nhân tạo thuộc Tổ chức Sở hữu Trí tuệ Thế giới,
và là chuyên gia tư vấn phụ trách điều hành tại EthiCan
Huỳnh
Thị Thanh Trúc dịch
Nguồn: A critical flaw affecting 70% of all websites has the cybersecurity world panicked, The Conversation, October 22, 2026.
