Giải mã ngôn ngữ lập trình vận hành hơn 70% website toàn cầu vừa bị AI tìm ra lỗ hổng

Trang web chính thức của Bộ Tài chính Nhật Bản thông báo tạm dừng hoạt động để nâng cấp phần mềm lập trình ngày 22/10. Ảnh: Kyodo

Sự việc khiến nhiều trang web phải tạm ngừng hoạt động ngày 22/10, trong khi các tổ chức trên thế giới khẩn trương triển khai biện pháp ngăn chặn nguy cơ bị tin tặc tấn công.

Trong bối cảnh năng lực AI ngày càng phát triển, làm dấy lên lo ngại về nguy cơ gia tăng các cuộc tấn công mạng, những diễn biến liên quan đến PHP đặt ra nhiều câu hỏi về mức độ phổ biến của ngôn ngữ lập trình này, cách AI phát hiện lỗ hổng và những rủi ro an ninh mạng có thể phát sinh.

PHP là gì và phổ biến đến mức nào?

Được phát triển vào đầu những năm 1990, PHP là ngôn ngữ lập trình máy tính được sử dụng để vận hành khoảng 70% số website trên toàn thế giới.

Theo công ty an ninh mạng Wiz Research, PHP được xem là “xương sống của web”. Công ty cho biết đã sử dụng AI để phát hiện những lỗ hổng tiềm ẩn trong PHP, ngôn ngữ lập trình đã tồn tại hơn một thập kỷ.

Tên gọi PHP ban đầu là chữ viết tắt của cụm từ “Personal Home Page” (trang chủ cá nhân). Ngôn ngữ này được sử dụng trong nhiều hệ thống và nền tảng phát triển website phổ biến. Vì vậy, các lỗ hổng bảo mật trong PHP có thể tạo điều kiện để tin tặc xâm nhập nhiều loại website, từ cửa hàng trực tuyến đến các dịch vụ của chính phủ.

Bản vá bảo mật đã được phát hành ngày 21/10. PHP Foundation cũng kêu gọi bộ phận kỹ thuật tại các doanh nghiệp và tổ chức trên toàn thế giới khẩn trương cập nhật hệ thống, nhấn mạnh: “Nếu bạn đang sử dụng PHP, việc cập nhật ngay lập tức là điều bắt buộc”.

Trong quá trình triển khai các biện pháp bảo vệ, nhiều ứng dụng và website, từ trang web của cảnh sát Paris đến một ứng dụng theo dõi giấc ngủ theo chủ đề Pokémon, đã phải tạm ngừng hoạt động để các nhà phát triển xử lý rủi ro bảo mật.

AI đã phát hiện các lỗ hổng như thế nào?

Tháng 8 vừa qua, Wiz và một số nhóm nghiên cứu khác đã sử dụng các mô hình AI tiên tiến, tương tự những mô hình do các tập đoàn công nghệ Mỹ như OpenAI và Google phát triển, để phát hiện những điểm yếu trong PHP. Thông tin được giữ kín trong quá trình xây dựng và phát hành bản vá bảo mật.

OpenAI mô tả các lỗ hổng này là “một trong những điểm yếu gây tác động lớn nhất trong thời gian gần đây”, đồng thời nhận định sự việc đánh dấu giai đoạn mới, khi AI có khả năng phát hiện lỗi bảo mật với phạm vi ảnh hưởng trên toàn Internet.

Ngoài Wiz, công ty an ninh mạng Calif cũng phát hiện các lỗ hổng trong một đợt kiểm tra mã nguồn PHP do OpenAI tài trợ.

Trao đổi với hãng tin AFP, ông Steve Kerrison, giảng viên cao cấp về an ninh mạng tại cơ sở Singapore của Đại học James Cook, cảnh báo rằng khi thông tin về các lỗ hổng được công khai, tin tặc có thể nhanh chóng khai thác chúng để tiến hành các cuộc tấn công.

Theo ông, đây là lý do các tổ chức đang khẩn trương triển khai biện pháp ứng phó.

Các website đã bị tấn công hay chưa?

Ông Dimitrios Salampasis, chuyên gia tại Đại học Công nghệ Swinburne (Australia), cho biết việc một website ngừng hoạt động không nhất thiết đồng nghĩa với việc hệ thống đã bị tấn công. Đây có thể là biện pháp phòng ngừa nhằm bảo vệ hệ thống trong khi các bản cập nhật bảo mật được triển khai.

Theo ông Kerrison, những bằng chứng mà giới nghiên cứu an ninh mạng thu thập được cho đến nay chưa cho thấy có đối tượng sử dụng các kỹ thuật liên quan để tiến hành tấn công.

Các tổ chức lớn, từ cơ quan chính phủ đến các đơn vị truyền thông, thường có khả năng khắc phục sự cố trên hệ thống của mình tương đối nhanh. Tuy nhiên, những website và hệ thống ít được quản lý chặt chẽ hơn vẫn có thể đối mặt với rủi ro.

Ông Kerrison cảnh báo một số website, hệ thống và người dùng có thể chưa biết về vấn đề bảo mật này trong nhiều ngày, nhiều tuần, thậm chí nhiều tháng. Trong đó có các blog cá nhân, vốn có thể bị lợi dụng để phát tán mã độc, gửi thư rác hoặc lan truyền nội dung độc hại.

Những hệ lụy nào có thể xảy ra?

Nếu xảy ra rò rỉ dữ liệu, người dùng có thể tiếp tục chịu ảnh hưởng trong tương lai khi thông tin cá nhân bị lợi dụng để thực hiện các cuộc tấn công lừa đảo trực tuyến, nhằm dụ người dùng tiết lộ mật khẩu hoặc thông tin đăng nhập vào các dịch vụ trực tuyến.

Các hệ thống trực tuyến thường có cấu trúc phức tạp, liên kết chặt chẽ và sử dụng giao diện hoặc dịch vụ của bên thứ ba. Vì vậy, một số lỗ hổng vẫn có thể tồn tại ngay cả khi vấn đề chính đã được khắc phục.

Bà Rahat Masood, giảng viên cao cấp về an ninh mạng tại Đại học New South Wales (Sydney), giải thích rằng nếu các bên thứ ba vẫn sử dụng PHP và chưa khắc phục lỗ hổng, hệ thống của người dùng vẫn có thể gặp rủi ro, ngay cả khi họ đã cập nhật hệ thống của mình.

Tuy nhiên, ông Kerrison lưu ý PHP không phải là yếu tố duy nhất quyết định mức độ an toàn của một hệ thống. Một chiến lược an ninh mạng hiệu quả cần kết hợp nhiều lớp bảo vệ để hạn chế nguy cơ bị tấn công.