Vũ Nguyễn✔
Writer
Nếu một số website tạm thời ngừng hoạt động trong ngày 22/10, nguyên nhân có thể là biện pháp phòng ngừa an ninh trước các cuộc tấn công nhắm vào hai lỗ hổng nghiêm trọng của PHP, ngôn ngữ lập trình được sử dụng rộng rãi để vận hành website.
Hai lỗ hổng có tên PHP2Shell, mang mã CVE-2026-109618 và CVE-2026-109619, được đánh giá mức độ nghiêm trọng 9,2/10. Nếu khai thác thành công, tin tặc có thể thực thi mã độc trên máy chủ bị ảnh hưởng mà không cần đăng nhập, từ đó đánh cắp dữ liệu, chỉnh sửa nội dung website hoặc cài đặt cửa hậu để duy trì quyền truy cập.
PHP là nền tảng của nhiều hệ thống quản trị nội dung và thương mại điện tử phổ biến như WordPress, Drupal, Joomla và Magento. Theo nhóm phát triển PHP, các hệ thống sử dụng PHP để xử lý yêu cầu web có nguy cơ bị tấn công, tùy thuộc vào phiên bản và cấu hình triển khai.
Dane Knecht, Giám đốc công nghệ của Cloudflare, cho biết các cuộc tấn công ban đầu đã xuất hiện. Ông đồng thời cảnh báo rằng các biện pháp ngăn chặn bằng tường lửa chỉ mang tính tạm thời, không thể thay thế việc vá lỗ hổng.
CERT-EU cũng khuyến nghị các tổ chức xác định những ứng dụng đang sử dụng PHP và khắc phục lỗ hổng khẩn cấp. Nếu chưa thể cập nhật ngay, quản trị viên nên cân nhắc cách ly các ứng dụng kết nối trực tiếp với Internet khỏi mạng công cộng.
Đáng chú ý, PHP 8.1 và các phiên bản cũ hơn đã hết thời hạn hỗ trợ bảo mật định kỳ từ dự án PHP. Những hệ thống này cần được kiểm tra để xác định liệu nhà cung cấp có bản vá riêng hay không, hoặc cần nâng cấp lên phiên bản còn được hỗ trợ.
Việc cập nhật WordPress hay các plugin không đồng nghĩa với cập nhật PHP. Trong nhiều trường hợp, quản trị viên máy chủ hoặc nhà cung cấp dịch vụ lưu trữ phải trực tiếp thực hiện việc nâng cấp.
Đối với người dùng, một website tạm thời ngừng hoạt động chưa có nghĩa là website đó đã bị tấn công. Đây có thể là biện pháp bảo vệ trong thời gian quản trị viên cập nhật và kiểm tra hệ thống.
Tuy nhiên, nếu tin tặc chiếm quyền kiểm soát một website hợp pháp, chúng có thể lợi dụng uy tín sẵn có để lừa đảo người dùng hoặc phát tán phần mềm độc hại. Shahak Shalev, Trưởng bộ phận Nghiên cứu về Lừa đảo và Trí tuệ nhân tạo toàn cầu tại Malwarebytes, cảnh báo rằng việc kiểm soát các website đáng tin cậy có thể mở ra nhiều cơ hội cho tin tặc thực hiện hành vi độc hại.
Vì vậy, người dùng không nên mặc định rằng một website quen thuộc luôn an toàn. Các tổ chức vận hành website cần ưu tiên cập nhật bảo mật, trong khi người truy cập nên thận trọng với những yêu cầu cung cấp thông tin cá nhân, tải tệp hoặc đăng nhập bất thường.
Hai lỗ hổng có tên PHP2Shell, mang mã CVE-2026-109618 và CVE-2026-109619, được đánh giá mức độ nghiêm trọng 9,2/10. Nếu khai thác thành công, tin tặc có thể thực thi mã độc trên máy chủ bị ảnh hưởng mà không cần đăng nhập, từ đó đánh cắp dữ liệu, chỉnh sửa nội dung website hoặc cài đặt cửa hậu để duy trì quyền truy cập.
PHP là nền tảng của nhiều hệ thống quản trị nội dung và thương mại điện tử phổ biến như WordPress, Drupal, Joomla và Magento. Theo nhóm phát triển PHP, các hệ thống sử dụng PHP để xử lý yêu cầu web có nguy cơ bị tấn công, tùy thuộc vào phiên bản và cấu hình triển khai.
Dane Knecht, Giám đốc công nghệ của Cloudflare, cho biết các cuộc tấn công ban đầu đã xuất hiện. Ông đồng thời cảnh báo rằng các biện pháp ngăn chặn bằng tường lửa chỉ mang tính tạm thời, không thể thay thế việc vá lỗ hổng.
Các bản vá đã được phát hành
Nhóm phát triển PHP đã phát hành các bản cập nhật bảo mật gồm PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35, đồng thời khuyến cáo quản trị viên cập nhật càng sớm càng tốt.CERT-EU cũng khuyến nghị các tổ chức xác định những ứng dụng đang sử dụng PHP và khắc phục lỗ hổng khẩn cấp. Nếu chưa thể cập nhật ngay, quản trị viên nên cân nhắc cách ly các ứng dụng kết nối trực tiếp với Internet khỏi mạng công cộng.
Đáng chú ý, PHP 8.1 và các phiên bản cũ hơn đã hết thời hạn hỗ trợ bảo mật định kỳ từ dự án PHP. Những hệ thống này cần được kiểm tra để xác định liệu nhà cung cấp có bản vá riêng hay không, hoặc cần nâng cấp lên phiên bản còn được hỗ trợ.
Việc cập nhật WordPress hay các plugin không đồng nghĩa với cập nhật PHP. Trong nhiều trường hợp, quản trị viên máy chủ hoặc nhà cung cấp dịch vụ lưu trữ phải trực tiếp thực hiện việc nâng cấp.
Website đáng tin cậy vẫn có thể trở thành mục tiêu tấn công
Nguy cơ không chỉ nằm ở những website đang hoạt động mà còn ở các hệ thống cũ bị bỏ quên, ứng dụng không còn được hỗ trợ và thiết bị sử dụng giao diện quản trị dựa trên PHP nhưng không được bảo trì thường xuyên.Đối với người dùng, một website tạm thời ngừng hoạt động chưa có nghĩa là website đó đã bị tấn công. Đây có thể là biện pháp bảo vệ trong thời gian quản trị viên cập nhật và kiểm tra hệ thống.
Tuy nhiên, nếu tin tặc chiếm quyền kiểm soát một website hợp pháp, chúng có thể lợi dụng uy tín sẵn có để lừa đảo người dùng hoặc phát tán phần mềm độc hại. Shahak Shalev, Trưởng bộ phận Nghiên cứu về Lừa đảo và Trí tuệ nhân tạo toàn cầu tại Malwarebytes, cảnh báo rằng việc kiểm soát các website đáng tin cậy có thể mở ra nhiều cơ hội cho tin tặc thực hiện hành vi độc hại.
Vì vậy, người dùng không nên mặc định rằng một website quen thuộc luôn an toàn. Các tổ chức vận hành website cần ưu tiên cập nhật bảo mật, trong khi người truy cập nên thận trọng với những yêu cầu cung cấp thông tin cá nhân, tải tệp hoặc đăng nhập bất thường.
