Nội dung bài viết
Các chuyên gia cho biết lỗ hổng mã có thể cho phép kẻ tấn công chiếm lấy máy chủ. PHP có thể không phải là một cái tên quen thuộc, nhưng ngôn ngữ lập trình được phát hành hơn 30 năm trước đã hỗ trợ một phần lớn các trang web và ứng dụng web.
Ước tính gần 70% internet sử dụng PHP, bao gồm cả WordPress, được sử dụng cho hơn 40% trang web.
Hiện nhóm phát triển PHP đang kêu gọi người dùng cập nhật ngay sau khi sửa hai lỗ hổng nghiêm trọng, được đánh giá 9,2/10 về mức độ nguy hiểm, mà nếu bị khai thác có thể cho phép kẻ tấn công chiếm lấy máy chủ internet.
Vào thứ Tư, nhóm phát triển PHP đã phát hành bản cập nhật “khắc phục hai lỗ hổng nghiêm trọng có thể cho phép thực thi mã từ xa không được xác thực. Tất cả người dùng PHP được khuyến khích cập nhật ngay lập tức”, theo trang web chính thức của PHP.
Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA) hôm thứ Tư cho biết họ “mạnh mẽ kêu gọi các tổ chức vá ngay các lỗ hổng nghiêm trọng được tiết lộ gần đây trong PHP”, lưu ý rằng mặc dù cơ quan này “chưa quan sát thấy việc khai thác các lỗ hổng này tính đến thời điểm xuất bản, nhưng chúng sẽ gây rủi ro cho các tổ chức nếu không được vá”.
Tương tự như vậy, FBI Cyber Div Ision kêu gọi tất cả các tổ chức có khả năng bị ảnh hưởng “cập nhật ngay lập tức các bản cài đặt PHP bị ảnh hưởng”.
FBI cho biết: “Nếu việc cập nhật ngay lập tức không khả thi thì các tổ chức nên đưa hệ thống ngoại tuyến cho đến khi nó có thể được khắc phục hoàn toàn”.
Trung tâm An ninh mạng Quốc gia của chính phủ Vương quốc Anh cũng khuyến khích các tổ chức “chuẩn bị cập nhật ngay lập tức các hệ thống sử dụng PHP.
Trong trường hợp không thể khắc phục ngay lập tức, các tổ chức nên cân nhắc đưa hệ thống ngoại tuyến cho đến khi có thể giảm thiểu hoàn toàn.” Open AI đã đăng vào sáng thứ Tư rằng các mô hình AI của họ đã giúp các nhà nghiên cứu phát hiện ra các lỗ hổng PHP.
Một phần bài đăng cho biết: “Trong hai tháng qua, chúng tôi đã lãnh đạo một liên minh gồm các nhà bảo trì, nhà nghiên cứu và nhà cung cấp bảo mật để chuẩn bị các bản sửa lỗi và biện pháp bảo vệ trước khi tiết lộ”.
"Do mức độ nghiêm trọng của những sai sót này và việc sử dụng rộng rãi PHP, chúng tôi coi lỗi này là một trong những lỗ hổng có ảnh hưởng lớn nhất trong bộ nhớ gần đây.
Nó cũng đánh dấu một giai đoạn mới, trong đó AI có thể tìm thấy các lỗi bảo mật có tác động trên quy mô internet." Công ty nói thêm rằng họ tin rằng mô hình AI của họ đã xác định được vấn đề trước khi tin tặc có thể khai thác các lỗ hổng.
OpenAI đã được kiểm tra kỹ lưỡng hơn nhỏ bé trong những tháng gần đây sau khi có thông tin tiết lộ rằng các mô hình AI của họ đã tấn công nhiều trang web, bao gồm các trang web của chính phủ Hoa Kỳ và trang web của các công ty AI đối thủ.
Trong một bài đăng trực tuyến vào thứ Tư tuần sau, Tổ chức PHP cho biết “một cách khai thác tiềm năng” đối với vấn đề mã đã được đưa ra giả thuyết vào đầu năm 2024, “nhưng không tìm thấy vectơ cụ thể nào và các vấn đề cụ thể khác có tác động rõ ràng đã làm lu mờ những lo ngại này”.
Công việc sửa lỗi tiếp tục không thường xuyên trong những năm sau đó do các chuyên gia liên quan "gánh nhiều trách nhiệm", điều này "khiến công việc sửa lỗi bị đình trệ và khởi động lại liên tục trong nhiều tháng." Tổ chức PHP cho biết họ đã đưa dự án PHP vào chương trình Patch the Planet của OpenAI và quá trình kiểm tra bảo mật đã bắt đầu vào tháng 7.
Vào tháng 9, OpenAI đã xác định các cách có thể khai thác các lỗ hổng, theo Tổ chức PHP, cho biết thông tin đó – và các báo cáo bổ sung từ một nhà nghiên cứu bảo mật và nhà cung cấp trang web Wiz – đã thuyết phục họ rằng việc khắc phục sự cố cần phải là “ưu tiên hàng đầu” và họ bắt đầu công việc đó vào ngày 11 tháng 8.
Sau khi các lỗ hổng “bắt đầu lan truyền trên các diễn đàn trực tuyến và phương tiện truyền thông xã hội” trong những ngày gần đây, nhóm phát triển PHP đã quyết định bài đăng cho biết hãy đẩy mạnh thông báo và sửa chữa theo kế hoạch của mình.
“Chúng tôi sẽ không giả vờ khác: sự chậm trễ là do lỗi cấu trúc”, bài đăng nói thêm.
Trong một bài đăng trên blog vào tối thứ Tư, Amazon Threat Intelligence cho biết họ đã phát hiện một nỗ lực hack vào ngày 17 tháng 10, cho thấy kẻ tấn công có thể đã biết về các lỗ hổng này bốn ngày trước khi các nhà phát triển PHP công khai các vấn đề và cách khắc phục.
Nỗ lực này nhắm vào một trong những hệ thống mồi nhử của Amazon, hệ thống này được sử dụng để theo dõi những kẻ tấn công. Amazon cho biết vẫn chưa rõ bằng cách nào mà nam diễn viên này biết được những sai sót trước khi thông báo.
Amazon cho biết họ đã xác định thêm một số nỗ lực nữa vào ngày thông báo, một số chỉ vài giờ trước khi bản sửa lỗi được phát hành. Công ty cho biết các phương pháp khác nhau được sử dụng để khai thác lỗ hổng cho thấy có nhiều kẻ tấn công.
Vì đây là một hệ thống mồi nhử nên Amazon cho biết vẫn chưa rõ liệu bất kỳ nỗ lực nào có hiệu quả trên các hệ thống thực hay không.
Gợi ý thực hành:
1. Theo dõi thông báo từ cơ quan địa phương tại California.
2. Kiểm tra nguồn chính thức trước khi chia sẻ lại thông tin.