Sasha✔
Writer
Các công cụ trí tuệ nhân tạo (AI) đã góp phần tìm ra một trong những lỗ hổng trực tuyến nghiêm trọng nhất từ trước đến nay. Các chuyên gia an ninh mạng đang chạy đua để vá lỗ hổng này trước khi tin tặc kịp sử dụng chính AI để khai thác nó.
Các nhà phát triển PHP – công nghệ vận hành tới 70% số trang web trên toàn cầu – hôm 21/10 đã công bố một lỗ hổng bảo mật nghiêm trọng. Tin tặc có thể lợi dụng lỗ hổng này để chiếm quyền kiểm soát bất kỳ hệ thống nào đang chạy phần mềm PHP, từ đó đánh cắp thông tin hoặc thực hiện các cuộc tấn công mạng nhắm vào người dùng truy cập vào các trang web bị xâm nhập.
Các nhà nghiên cứu bảo mật đã phát hiện ra lỗ hổng này nhờ sự hỗ trợ của AI. Hiện tại, các quản trị viên web đang khẩn trương tìm cách tự bảo vệ trước lỗ hổng mà các hệ thống AI tiên tiến có thể khai thác một cách nhanh chóng.
Một số đơn vị vận hành các trang web chính phủ và thương mại cho biết họ đã chủ động tạm dừng hoạt động trang web của mình. Bên cạnh đó, các báo cáo về những nỗ lực tấn công mạng cũng bắt đầu xuất hiện từ hôm 21/10.
Lỗ hổng này, được đặt tên là "PHP2Shell", liên quan đến cách thức PHP quản lý bộ nhớ máy tính. Tin tặc có thể khai thác lỗ hổng này theo nhiều cách – một số cách chỉ mất vài giây – để chạy các phần mềm trái phép trên bất kỳ máy chủ web nào chưa được vá lỗi.
Theo Volker Dusch, một kỹ sư bảo mật tại tổ chức phi lợi nhuận quản lý dự án PHP, đây là vấn đề bảo mật nghiêm trọng nhất mà PHP phải đối mặt trong hơn một thập kỷ qua. Ông ví nó với "Heartbleed" – một lỗ hổng có phạm vi ảnh hưởng rộng lớn tương tự, từng buộc cả thế giới phải chạy đua để bảo vệ hàng trăm nghìn máy chủ cách đây hơn mười năm.
Khi các bản vá bảo mật được tung ra, đó cũng là lúc bắt đầu cuộc đua giữa bên phòng thủ và tin tặc. Trong khi bên phòng thủ phải kiểm tra và cài đặt các bản vá, thì tin tặc lại nghiên cứu chính các bản vá đó để tìm ra những lỗ hổng mới; chúng phân tích những thay đổi trong mã nguồn rồi tìm cách tấn công vào các khu vực đó.
Các chuyên gia an ninh mạng cảnh báo rằng, các công cụ AI hiện nay có thể thực hiện công việc này nhanh hơn nhiều so với con người, khiến quy trình trên trở nên rủi ro hơn bao giờ hết. “Một gã nào đó trên Twitter có thể lấy các bản vá, dùng AI phân tích rồi tung ra đoạn mã khai thác,” Thai Duong, giám đốc điều hành của Calif – công ty bảo mật phát hiện ra vấn đề này – cho biết. “Khi đó, mọi thứ sẽ trở nên hỗn loạn.”
Lỗ hổng nghiêm trọng
Ryan Austin, một nhà nghiên cứu tại Calif, đã tìm ra các lỗ hổng này với sự hỗ trợ từ GPT-5.6 Sol – một trong những mô hình tiên tiến nhất của OpenAI – trong quá trình kiểm định mã nguồn PHP vào tháng 8. OpenAI đã tài trợ cho hoạt động này cũng như các đợt kiểm định khác, nằm trong nỗ lực của các công ty AI nhằm hỗ trợ các dự án mã nguồn mở giải quyết những lỗ hổng phần mềm đang dần bị các hệ thống trí tuệ nhân tạo phơi bày.
Theo Thai Duong, loại lỗ hổng này đã ẩn giấu trong mã nguồn PHP suốt nhiều năm. Một nhà nghiên cứu bảo mật từng cảnh báo về vấn đề này từ hàng thập kỷ trước, nhưng vì khi đó nó được cho là quá khó để khai thác nên dần dần bị lãng quên.
AI đã tìm ra cách. Ryan Austin phát hiện ra phương thức kiểm soát mã đang chạy trong bộ nhớ máy tính chỉ bằng vài chục yêu cầu gửi đến máy chủ chạy PHP. Trên các hệ thống nhỏ hơn, cuộc tấn công chỉ mất vài giây; với những hệ thống phức tạp hơn, quá trình này có thể kéo dài vài giờ.
Ngày 11 tháng 8, Thai Duong gọi điện cho Dusch từ nhóm phát triển PHP: “Có một vấn đề nghiêm trọng ở đây.”
Dusch kể lại: “Lúc đó tôi đã tự hỏi: ‘Ôi trời, giờ phải làm sao đây? Làm thế nào để thông báo chuyện này cho mọi người?’”
“Rồi bạn bình tâm lại, để cơn adrenaline lắng xuống, và bắt tay vào sửa lỗi,” anh nói.
Chẳng bao lâu sau, một nhóm làm việc không chính thức gồm các nhà nghiên cứu bảo mật và kỹ sư phần mềm đã được thành lập. Họ phối hợp cùng các đơn vị phân phối phần mềm và các công ty bảo mật để tìm cách vá lỗ hổng (được gọi là PHP2Shell) và ngăn chặn các hành vi khai thác.
Các nhà nghiên cứu từ đội ngũ an ninh mạng Wiz của Google cũng liên hệ, chia sẻ về những phương thức khai thác mới mà họ tự phát hiện độc lập với Calif. Ngoài ra, nhóm nghiên cứu của OpenAI cũng đóng góp thêm các phát hiện khác.
AI đang giúp các nhà nghiên cứu bảo mật thiện chí tìm ra hàng ngàn lỗ hổng phần mềm, khiến các dự án như PHP phải đối mặt với một khối lượng lớn các vấn đề cần được vá lỗi. Tuy nhiên, PHP2Shell được xem là một vấn đề ưu tiên, và năng lực tấn công của AI làm dấy lên lo ngại rằng tội phạm có thể khai thác PHP2Shell trên nhiều trang web trước khi các trang web này kịp được vá lỗi.
Giữ kín bí mật
Ami Luttwak, đồng sáng lập của Wiz, cho biết PHP2Shell là “lỗ hổng bảo mật liên quan đến AI nghiêm trọng nhất từng được phát hiện”. Đây là một lỗ hổng có độ phức tạp cao đến mức khó có thể bị phát hiện nếu không có sự hỗ trợ từ AI.
Duong cùng các nhà nghiên cứu khác đã giữ kín thông tin về lỗ hổng này trong suốt quá trình tìm cách khắc phục, vì lo ngại rằng những kẻ tấn công sử dụng AI có thể phát hiện và khai thác nó trước khi họ kịp hoàn thành công việc.
Công tác vá lỗi diễn ra trên quy mô lớn; gần 200 tệp tin đã được chỉnh sửa và các lập trình viên đã viết thêm hơn 10.000 dòng mã trong suốt quá trình này.
Cuối cùng, ngày tung ra bản vá được ấn định là 22 tháng 10. Thế rồi, điều không mong muốn đã xảy ra: thông tin về bản vá bị rò rỉ vào thứ Ba trên diễn đàn Hacker News, chỉ chưa đầy hai ngày trước thời điểm phát hành chính thức.
Nhóm của Dusch quyết định đẩy nhanh tiến độ tung ra bản vá. Vào thứ Ba, họ đã đưa ra cảnh báo, yêu cầu cộng đồng bảo mật chuẩn bị tinh thần đón nhận một bản cập nhật an ninh quan trọng vào thứ Tư.
Theo Dusch, đây là “sự cân bằng hợp lý để thông báo cho những người làm công tác phòng thủ, đồng thời không tạo quá nhiều thời gian cho những kẻ tấn công kịp phát triển các phương thức khai thác”.
Các nhà phát triển PHP – công nghệ vận hành tới 70% số trang web trên toàn cầu – hôm 21/10 đã công bố một lỗ hổng bảo mật nghiêm trọng. Tin tặc có thể lợi dụng lỗ hổng này để chiếm quyền kiểm soát bất kỳ hệ thống nào đang chạy phần mềm PHP, từ đó đánh cắp thông tin hoặc thực hiện các cuộc tấn công mạng nhắm vào người dùng truy cập vào các trang web bị xâm nhập.
Các nhà nghiên cứu bảo mật đã phát hiện ra lỗ hổng này nhờ sự hỗ trợ của AI. Hiện tại, các quản trị viên web đang khẩn trương tìm cách tự bảo vệ trước lỗ hổng mà các hệ thống AI tiên tiến có thể khai thác một cách nhanh chóng.
Một số đơn vị vận hành các trang web chính phủ và thương mại cho biết họ đã chủ động tạm dừng hoạt động trang web của mình. Bên cạnh đó, các báo cáo về những nỗ lực tấn công mạng cũng bắt đầu xuất hiện từ hôm 21/10.
Lỗ hổng này, được đặt tên là "PHP2Shell", liên quan đến cách thức PHP quản lý bộ nhớ máy tính. Tin tặc có thể khai thác lỗ hổng này theo nhiều cách – một số cách chỉ mất vài giây – để chạy các phần mềm trái phép trên bất kỳ máy chủ web nào chưa được vá lỗi.
Theo Volker Dusch, một kỹ sư bảo mật tại tổ chức phi lợi nhuận quản lý dự án PHP, đây là vấn đề bảo mật nghiêm trọng nhất mà PHP phải đối mặt trong hơn một thập kỷ qua. Ông ví nó với "Heartbleed" – một lỗ hổng có phạm vi ảnh hưởng rộng lớn tương tự, từng buộc cả thế giới phải chạy đua để bảo vệ hàng trăm nghìn máy chủ cách đây hơn mười năm.
Khi các bản vá bảo mật được tung ra, đó cũng là lúc bắt đầu cuộc đua giữa bên phòng thủ và tin tặc. Trong khi bên phòng thủ phải kiểm tra và cài đặt các bản vá, thì tin tặc lại nghiên cứu chính các bản vá đó để tìm ra những lỗ hổng mới; chúng phân tích những thay đổi trong mã nguồn rồi tìm cách tấn công vào các khu vực đó.
Các chuyên gia an ninh mạng cảnh báo rằng, các công cụ AI hiện nay có thể thực hiện công việc này nhanh hơn nhiều so với con người, khiến quy trình trên trở nên rủi ro hơn bao giờ hết. “Một gã nào đó trên Twitter có thể lấy các bản vá, dùng AI phân tích rồi tung ra đoạn mã khai thác,” Thai Duong, giám đốc điều hành của Calif – công ty bảo mật phát hiện ra vấn đề này – cho biết. “Khi đó, mọi thứ sẽ trở nên hỗn loạn.”
Lỗ hổng nghiêm trọng
Ryan Austin, một nhà nghiên cứu tại Calif, đã tìm ra các lỗ hổng này với sự hỗ trợ từ GPT-5.6 Sol – một trong những mô hình tiên tiến nhất của OpenAI – trong quá trình kiểm định mã nguồn PHP vào tháng 8. OpenAI đã tài trợ cho hoạt động này cũng như các đợt kiểm định khác, nằm trong nỗ lực của các công ty AI nhằm hỗ trợ các dự án mã nguồn mở giải quyết những lỗ hổng phần mềm đang dần bị các hệ thống trí tuệ nhân tạo phơi bày.
Theo Thai Duong, loại lỗ hổng này đã ẩn giấu trong mã nguồn PHP suốt nhiều năm. Một nhà nghiên cứu bảo mật từng cảnh báo về vấn đề này từ hàng thập kỷ trước, nhưng vì khi đó nó được cho là quá khó để khai thác nên dần dần bị lãng quên.
AI đã tìm ra cách. Ryan Austin phát hiện ra phương thức kiểm soát mã đang chạy trong bộ nhớ máy tính chỉ bằng vài chục yêu cầu gửi đến máy chủ chạy PHP. Trên các hệ thống nhỏ hơn, cuộc tấn công chỉ mất vài giây; với những hệ thống phức tạp hơn, quá trình này có thể kéo dài vài giờ.
Ngày 11 tháng 8, Thai Duong gọi điện cho Dusch từ nhóm phát triển PHP: “Có một vấn đề nghiêm trọng ở đây.”
Dusch kể lại: “Lúc đó tôi đã tự hỏi: ‘Ôi trời, giờ phải làm sao đây? Làm thế nào để thông báo chuyện này cho mọi người?’”
“Rồi bạn bình tâm lại, để cơn adrenaline lắng xuống, và bắt tay vào sửa lỗi,” anh nói.
Chẳng bao lâu sau, một nhóm làm việc không chính thức gồm các nhà nghiên cứu bảo mật và kỹ sư phần mềm đã được thành lập. Họ phối hợp cùng các đơn vị phân phối phần mềm và các công ty bảo mật để tìm cách vá lỗ hổng (được gọi là PHP2Shell) và ngăn chặn các hành vi khai thác.
Các nhà nghiên cứu từ đội ngũ an ninh mạng Wiz của Google cũng liên hệ, chia sẻ về những phương thức khai thác mới mà họ tự phát hiện độc lập với Calif. Ngoài ra, nhóm nghiên cứu của OpenAI cũng đóng góp thêm các phát hiện khác.
AI đang giúp các nhà nghiên cứu bảo mật thiện chí tìm ra hàng ngàn lỗ hổng phần mềm, khiến các dự án như PHP phải đối mặt với một khối lượng lớn các vấn đề cần được vá lỗi. Tuy nhiên, PHP2Shell được xem là một vấn đề ưu tiên, và năng lực tấn công của AI làm dấy lên lo ngại rằng tội phạm có thể khai thác PHP2Shell trên nhiều trang web trước khi các trang web này kịp được vá lỗi.
Giữ kín bí mật
Ami Luttwak, đồng sáng lập của Wiz, cho biết PHP2Shell là “lỗ hổng bảo mật liên quan đến AI nghiêm trọng nhất từng được phát hiện”. Đây là một lỗ hổng có độ phức tạp cao đến mức khó có thể bị phát hiện nếu không có sự hỗ trợ từ AI.
Duong cùng các nhà nghiên cứu khác đã giữ kín thông tin về lỗ hổng này trong suốt quá trình tìm cách khắc phục, vì lo ngại rằng những kẻ tấn công sử dụng AI có thể phát hiện và khai thác nó trước khi họ kịp hoàn thành công việc.
Công tác vá lỗi diễn ra trên quy mô lớn; gần 200 tệp tin đã được chỉnh sửa và các lập trình viên đã viết thêm hơn 10.000 dòng mã trong suốt quá trình này.
Cuối cùng, ngày tung ra bản vá được ấn định là 22 tháng 10. Thế rồi, điều không mong muốn đã xảy ra: thông tin về bản vá bị rò rỉ vào thứ Ba trên diễn đàn Hacker News, chỉ chưa đầy hai ngày trước thời điểm phát hành chính thức.
Nhóm của Dusch quyết định đẩy nhanh tiến độ tung ra bản vá. Vào thứ Ba, họ đã đưa ra cảnh báo, yêu cầu cộng đồng bảo mật chuẩn bị tinh thần đón nhận một bản cập nhật an ninh quan trọng vào thứ Tư.
Theo Dusch, đây là “sự cân bằng hợp lý để thông báo cho những người làm công tác phòng thủ, đồng thời không tạo quá nhiều thời gian cho những kẻ tấn công kịp phát triển các phương thức khai thác”.
