Phạm Thanh Bình✔
Writer
Tối 21/10 theo giờ VN, một số website của chính phủ Australia đột ngột không thể truy cập. Tại Nhật Bản, nhiều trò chơi trực tuyến và trang thương mại điện tử được đưa vào bảo trì khẩn cấp. Các cơ quan an ninh mạng tại Mỹ và Liên minh châu Âu cũng phát đi cảnh báo, khiến nhiều website trên thế giới chủ động ngừng hoạt động để phòng ngừa rủi ro.
Những hệ thống này không nhất thiết dùng chung máy chủ, nhưng có một điểm tương đồng đáng chú ý: nhiều website được xây dựng bằng PHP, ngôn ngữ lập trình mã nguồn mở đã tồn tại hàng chục năm và được sử dụng rộng rãi trên Internet. Ngày 21/10, OpenAI công bố rằng trong hai tháng trước đó, mô hình GPT-5.6 Sol Assistant của công ty đã phát hiện hai lỗ hổng bảo mật nghiêm trọng trong PHP. Các lỗ hổng này được cộng đồng an ninh mạng gọi chung là PHP2Shell.
Thông tin về PHP2Shell bị rò rỉ từ ngày 20/10, trước khi bản vá chính thức được phát hành, khiến các nỗ lực khai thác bắt đầu xuất hiện. Tối 21/10, dự án PHP công bố bốn phiên bản cập nhật. Với những lỗ hổng nằm sâu trong lõi ngôn ngữ lập trình, việc sửa mã nguồn của từng website không đủ để loại bỏ nguy cơ. Biện pháp quan trọng nhất là cập nhật phiên bản đã được vá. Dù chưa có báo cáo xác nhận về các vụ thực thi mã từ xa hoặc xâm nhập thành công thông qua PHP2Shell tại thời điểm đó, sự việc vẫn cho thấy những thách thức lớn đối với an ninh mạng toàn cầu.
Sáng 20/10, một bài đăng trên cộng đồng công nghệ Hacker News tiết lộ đội bảo mật PHP sắp công bố hai lỗ hổng nghiêm trọng. Trước khi bị xóa, bài đăng đã lan truyền trong cộng đồng. Công ty an ninh mạng Mỹ watchTowr nhanh chóng xác nhận lỗ hổng là có thật và tái hiện được một trong hai vấn đề, buộc đội bảo mật PHP phải điều chỉnh lịch phát hành bản vá.
Theo dữ liệu Amazon công bố, những nỗ lực khai thác đầu tiên đã xuất hiện từ ngày 17/10. Hoạt động này bắt nguồn từ một mạng lưới ẩn danh, làm dấy lên khả năng thông tin về lỗ hổng đã bị thu thập trước thời điểm công bố. Cloudflare cũng ghi nhận các cuộc tấn công sớm trong giai đoạn phát hành bản cập nhật PHP. Sau khi thông tin được công khai, số lượt tấn công tăng nhanh. Giám đốc điều hành Cloudflare Matthew Prince cho biết có hàng nghìn nỗ lực tấn công trong 10 giờ trước khi lỗ hổng được công bố; chỉ 45 phút sau khi bản vá phát hành, con số này đã tăng lên hàng chục nghìn và đến ngày 22/10 đạt mức hàng triệu lượt.
Điểm đáng lo ngại là một số cuộc tấn công có thể được kích hoạt trước khi mã nghiệp vụ của website bắt đầu chạy. Kẻ tấn công gửi những yêu cầu khiến PHP gặp lỗi nghiêm trọng, từ đó tìm cách kiểm soát máy chủ hoặc đọc dữ liệu còn lưu trong bộ nhớ. Do nguyên nhân nằm ở chính PHP, việc viết mã website theo quy chuẩn cũng không thể tự nó ngăn chặn lỗ hổng.
PHP2Shell liên quan trực tiếp đến những vấn đề lâu dài trong quản lý bộ nhớ và xử lý lỗi của PHP. Ngày 21/10, PHP Foundation cho biết việc khắc phục hai lỗ hổng đặc biệt phức tạp vì chúng nằm trong phần lõi xử lý gần như mọi yêu cầu. Bất kỳ thay đổi nào cũng có thể ảnh hưởng đến khả năng tương thích ngược, gây gián đoạn hoạt động hoặc buộc các plugin bên thứ ba phải điều chỉnh.
Dù nhiều kỹ sư cho rằng việc khai thác khó hơn dự kiến và chưa có báo cáo xác nhận về các vụ xâm nhập thành công, tâm lý lo ngại vẫn khiến nhiều tổ chức tạm dừng dịch vụ. Một số dịch vụ trực tuyến của Ngân hàng Mizuho, Ngân hàng Shizuoka, Tập đoàn Mitsubishi, Japan Airlines và Đường sắt Đông Nhật Bản bị gián đoạn. Chính phủ Anh cũng gỡ bỏ 32 dịch vụ trực tuyến.
Sau đó, PHP Foundation cáo buộc công ty chuỗi cung ứng phần mềm Chainguard đã phát hành hình ảnh chứa một số nội dung liên quan trước khi bản cập nhật chính thức được công bố. Theo PHP Foundation, việc này có thể làm lộ chi tiết quá trình sửa lỗi và giúp kẻ tấn công phân tích ngược lỗ hổng dễ dàng hơn. Chainguard phản hồi rằng hành động đó là biện pháp cuối cùng trong bối cảnh các cuộc tấn công đã bắt đầu.
Bước ngoặt đến vào năm 2026. Ngày 30/7, công ty an ninh mạng Calif bắt đầu kiểm toán PHP trong khuôn khổ chương trình Patch the Earth của OpenAI, được khởi động từ tháng 6 nhằm ứng phó với tác động của AI đối với hoạt động khai thác lỗ hổng và tăng cường an ninh mạng. Chỉ hai ngày sau, nhóm phát hiện điểm xâm nhập đầu tiên có thể kích hoạt một trong các lỗ hổng. Ngày 11/8, nhà nghiên cứu Ryan Austin của Calif báo cáo toàn bộ chuỗi tấn công cho nhóm phát triển PHP. Cùng ngày, OpenAI cũng độc lập đưa ra những cảnh báo tương tự và tiếp tục báo cáo thêm các hướng tấn công khác.
Sự việc cho thấy AI có thể giúp tăng tốc quá trình tìm kiếm lỗ hổng mà con người đã mất nhiều thời gian nhưng chưa xác định được cách khai thác. Tuy nhiên, phát hiện nhanh hơn không đồng nghĩa với việc sửa chữa cũng nhanh hơn, đặc biệt khi lỗ hổng nằm trong nền tảng cốt lõi được sử dụng trên hàng triệu hệ thống.
Nhà sáng lập Sysdig, Loris Degioanni, cảnh báo ngày 21/10 rằng nguy cơ không chỉ giới hạn ở các website thông thường. Mọi ứng dụng PHP đều có thể bị ảnh hưởng, từ cổng thông tin dành cho nhà cung cấp, hệ thống quản lý đến những website tiếp thị cũ mà doanh nghiệp thậm chí không còn ghi nhận trong danh sách tài sản công nghệ.
PHP còn hiện diện trong các cổng công nghiệp, hệ thống quản lý tòa nhà, bộ định tuyến gia đình và thiết bị lưu trữ mạng. Những hệ thống này thường có chu kỳ cập nhật kéo dài nhiều năm, khiến việc vá lỗi khó khăn hơn so với website đang được quản lý thường xuyên. Help Net Security dẫn lời các nhà nghiên cứu an ninh mạng cho rằng nhiều ứng dụng đã bị bỏ quên hoặc không còn được bảo trì sẽ không bao giờ được cập nhật, khiến hậu quả của cuộc khủng hoảng có thể kéo dài.
Vấn đề vì thế vượt ra ngoài phạm vi một lỗ hổng cụ thể: khi AI làm giảm chi phí phát hiện lỗ hổng, ai sẽ chịu trách nhiệm và trả tiền để sửa chúng? PHP Foundation đã kêu gọi các doanh nghiệp, nhà cung cấp dịch vụ lưu trữ, nền tảng đám mây và chính phủ đang sử dụng PHP hỗ trợ tài chính cho dự án. Trong khi ngày càng có nhiều bên có khả năng tìm ra lỗ hổng, nguồn lực dành cho việc sửa chữa và duy trì bảo mật vẫn chưa đáp ứng được nhu cầu.
Tuy nhiên, lợi thế đó không phải lúc nào cũng tồn tại. Theo OpenAI, cơ hội chỉ xuất hiện khi năng lực của các mô hình AI phục vụ phòng thủ vượt trội rõ rệt so với những công cụ mà kẻ tấn công có thể tiếp cận. Khi khả năng phát hiện lỗ hổng tiếp tục tăng, số lượng lỗ hổng nghiêm trọng được tìm thấy trong những tháng tới có thể tăng đáng kể. Điều đó cũng đồng nghĩa với việc các đội bảo mật sẽ phải xử lý nhiều vấn đề hơn trong cùng một khoảng thời gian.
Với người dùng thông thường, nguy cơ không nhất thiết xuất phát trực tiếp từ máy tính hay điện thoại cá nhân, bởi PHP chủ yếu chạy trên máy chủ. Mối lo nằm ở dữ liệu mà các dịch vụ trực tuyến lưu trữ và xử lý. Ngày 22/10, Austin, một trong những người sớm phát hiện lỗ hổng, nói với truyền thông rằng khai thác thành công trên website của người khác có thể giống như bước qua cửa chính của một ngôi nhà, từ đó tiếp cận các khu vực khác trong mạng nội bộ và triển khai những cuộc tấn công như mã độc tống tiền.
Việc thông tin cá nhân có bị ảnh hưởng hay không còn phụ thuộc vào mức độ xâm nhập và hậu quả thực tế của từng vụ việc. Người dùng nên chú ý các thông báo chính thức từ dịch vụ mình sử dụng; nếu nhận được thông báo xác nhận dữ liệu bị lộ, cần thay đổi mật khẩu liên quan và không sử dụng lại mật khẩu đó ở nhiều tài khoản.
Tại thời điểm bài viết được đăng, một số website từng tạm ngừng hoạt động để phòng ngừa đã truy cập trở lại, nhưng nhiều hệ thống trên thế giới vẫn chưa hoạt động bình thường hoặc đang chờ khắc phục. Đáng lo hơn, còn có những hệ thống PHP chạy trên website nhỏ và thiết bị cũ đã không được cập nhật trong nhiều năm. Khi phiên bản PHP 8.2 dự kiến kết thúc hỗ trợ bảo mật vào cuối năm 2026, số hệ thống khó vá lỗi có thể tiếp tục tăng.
PHP2Shell không chỉ phơi bày điểm yếu kỹ thuật của một ngôn ngữ lập trình lâu đời. Cuộc khủng hoảng còn cho thấy một nghịch lý của an ninh mạng trong thời đại AI: tìm ra lỗ hổng ngày càng nhanh, nhưng duy trì, cập nhật và bảo vệ hàng loạt hệ thống phụ thuộc vào phần mềm cũ vẫn là bài toán tốn kém và khó giải quyết.
Những hệ thống này không nhất thiết dùng chung máy chủ, nhưng có một điểm tương đồng đáng chú ý: nhiều website được xây dựng bằng PHP, ngôn ngữ lập trình mã nguồn mở đã tồn tại hàng chục năm và được sử dụng rộng rãi trên Internet. Ngày 21/10, OpenAI công bố rằng trong hai tháng trước đó, mô hình GPT-5.6 Sol Assistant của công ty đã phát hiện hai lỗ hổng bảo mật nghiêm trọng trong PHP. Các lỗ hổng này được cộng đồng an ninh mạng gọi chung là PHP2Shell.
Thông tin về PHP2Shell bị rò rỉ từ ngày 20/10, trước khi bản vá chính thức được phát hành, khiến các nỗ lực khai thác bắt đầu xuất hiện. Tối 21/10, dự án PHP công bố bốn phiên bản cập nhật. Với những lỗ hổng nằm sâu trong lõi ngôn ngữ lập trình, việc sửa mã nguồn của từng website không đủ để loại bỏ nguy cơ. Biện pháp quan trọng nhất là cập nhật phiên bản đã được vá. Dù chưa có báo cáo xác nhận về các vụ thực thi mã từ xa hoặc xâm nhập thành công thông qua PHP2Shell tại thời điểm đó, sự việc vẫn cho thấy những thách thức lớn đối với an ninh mạng toàn cầu.
Hỗn loạn trước khi bản vá được phát hành
PHP từ lâu thường bị giới lập trình viên gọi đùa là “ngôn ngữ lập trình tốt nhất thế giới”, một cách nói mỉa mai những hạn chế trong thiết kế, hiệu năng và bảo mật của ngôn ngữ này. Tuy nhiên, cuộc khủng hoảng PHP2Shell cho thấy vấn đề không chỉ nằm ở những tranh luận kỹ thuật, mà còn ở khả năng ứng phó khi lỗ hổng nghiêm trọng xuất hiện trên một nền tảng được sử dụng rộng rãi.Sáng 20/10, một bài đăng trên cộng đồng công nghệ Hacker News tiết lộ đội bảo mật PHP sắp công bố hai lỗ hổng nghiêm trọng. Trước khi bị xóa, bài đăng đã lan truyền trong cộng đồng. Công ty an ninh mạng Mỹ watchTowr nhanh chóng xác nhận lỗ hổng là có thật và tái hiện được một trong hai vấn đề, buộc đội bảo mật PHP phải điều chỉnh lịch phát hành bản vá.
Theo dữ liệu Amazon công bố, những nỗ lực khai thác đầu tiên đã xuất hiện từ ngày 17/10. Hoạt động này bắt nguồn từ một mạng lưới ẩn danh, làm dấy lên khả năng thông tin về lỗ hổng đã bị thu thập trước thời điểm công bố. Cloudflare cũng ghi nhận các cuộc tấn công sớm trong giai đoạn phát hành bản cập nhật PHP. Sau khi thông tin được công khai, số lượt tấn công tăng nhanh. Giám đốc điều hành Cloudflare Matthew Prince cho biết có hàng nghìn nỗ lực tấn công trong 10 giờ trước khi lỗ hổng được công bố; chỉ 45 phút sau khi bản vá phát hành, con số này đã tăng lên hàng chục nghìn và đến ngày 22/10 đạt mức hàng triệu lượt.
Điểm đáng lo ngại là một số cuộc tấn công có thể được kích hoạt trước khi mã nghiệp vụ của website bắt đầu chạy. Kẻ tấn công gửi những yêu cầu khiến PHP gặp lỗi nghiêm trọng, từ đó tìm cách kiểm soát máy chủ hoặc đọc dữ liệu còn lưu trong bộ nhớ. Do nguyên nhân nằm ở chính PHP, việc viết mã website theo quy chuẩn cũng không thể tự nó ngăn chặn lỗ hổng.
PHP2Shell liên quan trực tiếp đến những vấn đề lâu dài trong quản lý bộ nhớ và xử lý lỗi của PHP. Ngày 21/10, PHP Foundation cho biết việc khắc phục hai lỗ hổng đặc biệt phức tạp vì chúng nằm trong phần lõi xử lý gần như mọi yêu cầu. Bất kỳ thay đổi nào cũng có thể ảnh hưởng đến khả năng tương thích ngược, gây gián đoạn hoạt động hoặc buộc các plugin bên thứ ba phải điều chỉnh.
Dù nhiều kỹ sư cho rằng việc khai thác khó hơn dự kiến và chưa có báo cáo xác nhận về các vụ xâm nhập thành công, tâm lý lo ngại vẫn khiến nhiều tổ chức tạm dừng dịch vụ. Một số dịch vụ trực tuyến của Ngân hàng Mizuho, Ngân hàng Shizuoka, Tập đoàn Mitsubishi, Japan Airlines và Đường sắt Đông Nhật Bản bị gián đoạn. Chính phủ Anh cũng gỡ bỏ 32 dịch vụ trực tuyến.
Sau đó, PHP Foundation cáo buộc công ty chuỗi cung ứng phần mềm Chainguard đã phát hành hình ảnh chứa một số nội dung liên quan trước khi bản cập nhật chính thức được công bố. Theo PHP Foundation, việc này có thể làm lộ chi tiết quá trình sửa lỗi và giúp kẻ tấn công phân tích ngược lỗ hổng dễ dàng hơn. Chainguard phản hồi rằng hành động đó là biện pháp cuối cùng trong bối cảnh các cuộc tấn công đã bắt đầu.
Hai ngày phát hiện, nhiều năm xử lý
Chi phí và độ phức tạp của việc sửa lỗi PHP không phải vấn đề mới. Năm 2024, PHP trải qua đợt kiểm toán bảo mật bên ngoài đầu tiên sau nhiều năm. Trong quá trình xử lý một vấn đề, một lập trình viên nòng cốt của PHP Foundation nhận thấy dấu hiệu ban đầu liên quan đến lỗ hổng sau này được công bố. Nhóm đã mô phỏng một phương thức tấn công khả thi nhưng chưa tìm ra đường khai thác cụ thể, trong khi phương án sửa chữa vẫn chưa được thống nhất. PHP Foundation sau đó thừa nhận đây là thất bại mang tính cơ cấu, liên quan đến quy trình ra quyết định chưa hoàn thiện và thiếu nhân lực bảo mật.Bước ngoặt đến vào năm 2026. Ngày 30/7, công ty an ninh mạng Calif bắt đầu kiểm toán PHP trong khuôn khổ chương trình Patch the Earth của OpenAI, được khởi động từ tháng 6 nhằm ứng phó với tác động của AI đối với hoạt động khai thác lỗ hổng và tăng cường an ninh mạng. Chỉ hai ngày sau, nhóm phát hiện điểm xâm nhập đầu tiên có thể kích hoạt một trong các lỗ hổng. Ngày 11/8, nhà nghiên cứu Ryan Austin của Calif báo cáo toàn bộ chuỗi tấn công cho nhóm phát triển PHP. Cùng ngày, OpenAI cũng độc lập đưa ra những cảnh báo tương tự và tiếp tục báo cáo thêm các hướng tấn công khác.
Sự việc cho thấy AI có thể giúp tăng tốc quá trình tìm kiếm lỗ hổng mà con người đã mất nhiều thời gian nhưng chưa xác định được cách khai thác. Tuy nhiên, phát hiện nhanh hơn không đồng nghĩa với việc sửa chữa cũng nhanh hơn, đặc biệt khi lỗ hổng nằm trong nền tảng cốt lõi được sử dụng trên hàng triệu hệ thống.
Nhà sáng lập Sysdig, Loris Degioanni, cảnh báo ngày 21/10 rằng nguy cơ không chỉ giới hạn ở các website thông thường. Mọi ứng dụng PHP đều có thể bị ảnh hưởng, từ cổng thông tin dành cho nhà cung cấp, hệ thống quản lý đến những website tiếp thị cũ mà doanh nghiệp thậm chí không còn ghi nhận trong danh sách tài sản công nghệ.
PHP còn hiện diện trong các cổng công nghiệp, hệ thống quản lý tòa nhà, bộ định tuyến gia đình và thiết bị lưu trữ mạng. Những hệ thống này thường có chu kỳ cập nhật kéo dài nhiều năm, khiến việc vá lỗi khó khăn hơn so với website đang được quản lý thường xuyên. Help Net Security dẫn lời các nhà nghiên cứu an ninh mạng cho rằng nhiều ứng dụng đã bị bỏ quên hoặc không còn được bảo trì sẽ không bao giờ được cập nhật, khiến hậu quả của cuộc khủng hoảng có thể kéo dài.
Vấn đề vì thế vượt ra ngoài phạm vi một lỗ hổng cụ thể: khi AI làm giảm chi phí phát hiện lỗ hổng, ai sẽ chịu trách nhiệm và trả tiền để sửa chúng? PHP Foundation đã kêu gọi các doanh nghiệp, nhà cung cấp dịch vụ lưu trữ, nền tảng đám mây và chính phủ đang sử dụng PHP hỗ trợ tài chính cho dự án. Trong khi ngày càng có nhiều bên có khả năng tìm ra lỗ hổng, nguồn lực dành cho việc sửa chữa và duy trì bảo mật vẫn chưa đáp ứng được nhu cầu.
AI có thể giúp người phòng thủ đi trước bao lâu?
Trong thông báo ngày 21/10, OpenAI sử dụng thuật ngữ “Defender Window” để mô tả khoảng thời gian mà bên phòng thủ có được khi AI phát hiện lỗ hổng trước kẻ tấn công. Khoảng thời gian này cho phép nhà phát triển và các đơn vị bảo mật chuẩn bị bản vá trước khi lỗ hổng bị khai thác rộng rãi.Tuy nhiên, lợi thế đó không phải lúc nào cũng tồn tại. Theo OpenAI, cơ hội chỉ xuất hiện khi năng lực của các mô hình AI phục vụ phòng thủ vượt trội rõ rệt so với những công cụ mà kẻ tấn công có thể tiếp cận. Khi khả năng phát hiện lỗ hổng tiếp tục tăng, số lượng lỗ hổng nghiêm trọng được tìm thấy trong những tháng tới có thể tăng đáng kể. Điều đó cũng đồng nghĩa với việc các đội bảo mật sẽ phải xử lý nhiều vấn đề hơn trong cùng một khoảng thời gian.
Với người dùng thông thường, nguy cơ không nhất thiết xuất phát trực tiếp từ máy tính hay điện thoại cá nhân, bởi PHP chủ yếu chạy trên máy chủ. Mối lo nằm ở dữ liệu mà các dịch vụ trực tuyến lưu trữ và xử lý. Ngày 22/10, Austin, một trong những người sớm phát hiện lỗ hổng, nói với truyền thông rằng khai thác thành công trên website của người khác có thể giống như bước qua cửa chính của một ngôi nhà, từ đó tiếp cận các khu vực khác trong mạng nội bộ và triển khai những cuộc tấn công như mã độc tống tiền.
Việc thông tin cá nhân có bị ảnh hưởng hay không còn phụ thuộc vào mức độ xâm nhập và hậu quả thực tế của từng vụ việc. Người dùng nên chú ý các thông báo chính thức từ dịch vụ mình sử dụng; nếu nhận được thông báo xác nhận dữ liệu bị lộ, cần thay đổi mật khẩu liên quan và không sử dụng lại mật khẩu đó ở nhiều tài khoản.
Tại thời điểm bài viết được đăng, một số website từng tạm ngừng hoạt động để phòng ngừa đã truy cập trở lại, nhưng nhiều hệ thống trên thế giới vẫn chưa hoạt động bình thường hoặc đang chờ khắc phục. Đáng lo hơn, còn có những hệ thống PHP chạy trên website nhỏ và thiết bị cũ đã không được cập nhật trong nhiều năm. Khi phiên bản PHP 8.2 dự kiến kết thúc hỗ trợ bảo mật vào cuối năm 2026, số hệ thống khó vá lỗi có thể tiếp tục tăng.
PHP2Shell không chỉ phơi bày điểm yếu kỹ thuật của một ngôn ngữ lập trình lâu đời. Cuộc khủng hoảng còn cho thấy một nghịch lý của an ninh mạng trong thời đại AI: tìm ra lỗ hổng ngày càng nhanh, nhưng duy trì, cập nhật và bảo vệ hàng loạt hệ thống phụ thuộc vào phần mềm cũ vẫn là bài toán tốn kém và khó giải quyết.
