Lỗ hổng bảo mật 10 năm khiến hàng loạt website tạm ngừng hoạt động

Một lỗ hổng trong ngôn ngữ lập trình vận hành khoảng 70% website có thể tạo điều kiện cho tin tặc xâm nhập. Ảnh: Reuters.

Các chính phủ và doanh nghiệp trên khắp thế giới đang khẩn trương khắc phục những lỗ hổng bảo mật nghiêm trọng trong PHP, ngôn ngữ lập trình được khoảng 70% website toàn cầu sử dụng. Một số trang web và dịch vụ đã chủ động tạm ngừng hoạt động để triển khai biện pháp phòng ngừa.

Cơ quan An ninh Quốc gia Mỹ (NSA) và Cơ quan An ninh mạng Liên minh châu Âu (ENISA) khuyến cáo các doanh nghiệp lập tức xử lý hai lỗ hổng nghiêm trọng trong PHP sau khi chúng được công bố hôm 21/10, theo CNN.

Bước ngoặt trong ứng dụng AI vào an ninh mạng

Các nhóm nghiên cứu tại OpenAI, Wiz - công ty an ninh mạng thuộc Google - và Calif đã tham gia phát hiện, phân tích những điểm yếu bảo mật trong PHP. Theo Wiz, những điểm yếu này đã tồn tại trong mã nguồn PHP suốt một thập kỷ, nhưng việc khai thác chúng đòi hỏi các thao tác phức tạp, vượt quá khả năng thực hiện thực tế của nhiều nhà nghiên cứu.

Các chuyên gia đã sử dụng trí tuệ nhân tạo (AI) để hỗ trợ xây dựng, điều chỉnh và kiểm chứng những phương thức khai thác lỗ hổng. Được gọi chung là PHP2Shell, các lỗi này có thể cho phép tin tặc xâm nhập website và đọc dữ liệu trong bộ nhớ máy tính, bao gồm thông tin nhạy cảm như mật khẩu.

PHP Foundation, tổ chức hỗ trợ phát triển và duy trì PHP, đã phát hành các bản vá bảo mật, đồng thời khuyến cáo những đơn vị sử dụng phiên bản bị ảnh hưởng nhanh chóng cập nhật hệ thống.

Lỗ hổng trong PHP có thể cho phép tin tặc xâm nhập hệ thống. Ảnh: Reuters.

Trong khi đó, CEO Cloudflare cho biết trên mạng xã hội X rằng công ty đã ghi nhận hàng triệu nỗ lực khai thác các lỗ hổng trong vài ngày qua.

“PHP được sử dụng rộng rãi đến mức nguy cơ có thể lan tới gần như mọi nơi người dùng thực hiện giao dịch trực tuyến”, Nigel Green, CEO công ty tư vấn tài chính deVere Group, nhận định. Theo ông, các nền tảng đặt chỗ, sàn thương mại điện tử, dịch vụ thuê bao, website bán vé và ứng dụng giao hàng đều có thể lưu trữ thông tin thẻ thanh toán trên những hệ thống sử dụng loại mã nguồn tương tự.

Các lỗi được phát hiện vào cuối tháng 8 nhưng chỉ được công bố rộng rãi hôm 21/10, sau khi PHP phát triển xong bản vá.

Theo Wiz, AI đóng vai trò then chốt trong việc phát hiện và khắc phục những lỗ hổng đã tồn tại hơn 10 năm trong mã nguồn PHP. Công ty gọi PHP là “xương sống của Internet”, đồng thời nhận định sự việc đánh dấu bước ngoặt trong ứng dụng AI vào an ninh mạng.

“Điều AI thay đổi là khả năng nhận diện các điểm yếu”, nhóm nghiên cứu của Wiz viết trong bài đăng trên blog hôm 21/10. Công nghệ này giúp nhanh chóng chuyển những điểm yếu đó thành phương thức tấn công.

Nhiều chính phủ, doanh nghiệp khẩn trương ứng phó

Lãnh đạo nhiều nước kêu gọi các tổ chức nhanh chóng hành động để giảm thiểu rủi ro. Thủ tướng Hà Lan Rob Jetten cho biết chính phủ nước này đang theo dõi sát tình hình liên quan đến các lỗ hổng PHP.

Thủ tướng Nhật Bản Sanae Takaichi đề nghị doanh nghiệp cân nhắc tạm ngừng cung cấp dịch vụ nếu cần thiết nhằm hạn chế nguy cơ bị tấn công. Bà cũng kêu gọi các đơn vị kiểm tra website có sử dụng PHP hay không và chuẩn bị áp dụng bản vá ngay khi được phát hành.

Hãng hàng không ANA, nhà vận hành đường sắt JR West và MUFG - ngân hàng lớn nhất Nhật Bản - nằm trong số các doanh nghiệp thông báo tạm ngừng một số website hoặc dịch vụ để triển khai các biện pháp bảo mật.

Tại châu Âu, một số website của cơ quan chính phủ Pháp, Đan Mạch, Phần Lan và Hà Lan, trong đó có cơ quan an ninh mạng Hà Lan, cũng tạm ngừng hoạt động để cập nhật hệ thống và giảm thiểu nguy cơ bị khai thác lỗ hổng.

Trang web của chính phủ Hà Lan không khả dụng, mijn.overheid.nl, khi các cơ quan an ninh mạng cảnh báo rằng các trang web có thể bị ngừng hoạt động trong khi PHP chuẩn bị bản vá lỗi quan trọng vào ngày 21/10. Ảnh: Reuters.

Quỹ Wikimedia, tổ chức phi lợi nhuận vận hành Wikipedia, cho biết hôm 22/10 rằng đơn vị này đang xử lý các lỗ hổng bảo mật trong PHP. Một số hệ thống đã được tạm thời đưa xuống để phòng ngừa rủi ro.

Tại Anh, gần 36 dịch vụ của chính phủ không thể truy cập và 4 dịch vụ khác bị gián đoạn một phần trong quá trình nâng cấp bảo mật, theo thông tin Bộ trưởng Elizabeth Lloyd cung cấp trước Thượng viện hôm 22/10. The Journal, một trong những hãng tin trực tuyến có lượng độc giả lớn nhất Ireland, cũng tạm thời ngừng hoạt động sáng cùng ngày để củng cố hệ thống phòng vệ.

AI đẩy nhanh "cuộc chạy đua" giữa chuyên gia và tin tặc

Các nhà nghiên cứu của Wiz đánh giá PHP2Shell có mức độ nghiêm trọng tương đương lỗi Heartbleed năm 2014. Khi đó, lỗ hổng trong một công nghệ mã hóa được ước tính sử dụng trên khoảng 2/3 Internet đã cho phép tội phạm mạng truy cập dữ liệu vốn cần được bảo vệ.

Theo Wiz, PHP2Shell cũng có thể trở thành bước ngoặt đối với an ninh mạng. Dù các lỗ hổng đã tồn tại nhiều năm, AI khiến việc phát hiện và khai thác chúng trở nên khả thi hơn.

“Tốc độ phát hiện lỗ hổng hiện nay vượt xa bất cứ điều gì chúng ta từng chứng kiến trước đây”, Fussell nhận định.

Tuy nhiên, Gang Wang, Phó giáo sư khoa học máy tính tại Đại học Illinois, cảnh báo không phải doanh nghiệp hay tổ chức nào cũng cập nhật hệ thống cùng lúc. Khoảng trống này có thể tạo cơ hội cho tin tặc khai thác lỗ hổng sau khi thông tin được công khai, đặc biệt khi AI giúp đẩy nhanh quá trình tấn công.

Dù vậy, Fussell lưu ý việc khai thác PHP2Shell không hề đơn giản, ngay cả khi có AI hỗ trợ. Theo ông, quá trình này vẫn đòi hỏi nhiều điều kiện kỹ thuật phức tạp, không phải lúc nào cũng đáp ứng được.