VN — VnExpress

48 tiếng không ngủ của giới an ninh mạng

Bảo mật24 tháng 10, 20262 phút đọc

Nhiều chuyên gia bảo mật phải thức suốt hai ngày để vá lỗ hổng PHP2Shell, một lỗ hổng nguy hiểm trong ngôn ngữ lập trình PHP. Lỗ hổng này có thể bị tin tặc lợi dụng để điều khiển máy chủ từ xa.

Chuyện gì đã xảy ra?

Ngày 21/10, hai lỗ hổng tên PHP2Shell được công khai. PHP là ngôn ngữ lập trình dùng để tạo website. Lỗ hổng cho phép kẻ xấu chạy mã từ xa trên máy chủ PHP mà không cần đăng nhập. Vì vậy, chúng có thể ăn cắp dữ liệu. Nhiều công ty và chính phủ trên thế giới đã vội vã cập nhật bản vá, tức là phần sửa lỗi. Nhiều website phải tạm đóng cửa để kiểm tra và sửa lỗi.

Những con số đáng chú ý

Khoảng 70% website trên toàn cầu chạy bằng PHP.
Cloudflare ghi nhận hàng nghìn nỗ lực tấn công trong 10 tiếng trước khi lỗ hổng được công bố.
Số lần tấn công tăng lên hàng chục nghìn trong 45 phút đầu, rồi hàng trăm nghìn trong 2 tiếng, và hiện đã lên đến hàng triệu.
Tính đến 23/10, 9 công ty bảo mật lớn chưa ghi nhận cuộc tấn công thành công nào.
Palo Alto Networks phát hiện hơn 200 mã khai thác thử nghiệm (PoC).

Vì sao lỗ hổng này đáng lo?

Hai lỗ hổng này nằm trong mã nguồn PHP suốt nhiều năm. Chúng khó bị khai thác nên hầu như bị bỏ quên. Nhưng AI đã giúp tìm ra chúng. Các chuyên gia nói rằng cả bên phòng thủ lẫn kẻ tấn công đều đang dùng AI để mạnh hơn, nên mọi việc diễn ra rất nhanh.

Vì sao chuyện này quan trọng?

Website là nơi chứa thông tin của chúng ta, như dữ liệu ngân hàng, thuế hay đặt vé. Nếu bị tấn công, thông tin cá nhân có thể bị lộ. Câu chuyện cũng cho thấy AI có thể giúp cả người tốt lẫn kẻ xấu, nên việc bảo vệ hệ thống ngày càng cần làm nhanh hơn.

Cần theo dõi điều gì?

Liệu tin tặc có thật sự khai thác thành công lỗ hổng trong thực tế hay không.
Các chuyên gia cho rằng sự việc có thể kéo dài âm ỉ trong thời gian tới.
Các công ty cần kiểm tra xem có dữ liệu nào đã bị rò rỉ trước khi vá lỗi hay không.

Chú giải

PHP: Ngôn ngữ lập trình dùng để tạo website, được nhiều website trên thế giới sử dụng.
PHP2Shell: Tên của hai lỗ hổng bảo mật trong PHP, cho phép kẻ xấu chạy mã từ xa trên máy chủ.
Cloudflare: Công ty cung cấp dịch vụ bảo vệ và tăng tốc website.
Palo Alto Networks: Công ty bảo mật mạng, chuyên phát hiện và chặn các mối đe dọa trên internet.
PoC: Mã khai thác thử nghiệm, dùng để chứng minh một lỗ hổng có thể bị lợi dụng.

Cùng một tin, nhiều góc nhìn

Kỹ sưAI

Cài bản vá chưa khó bằng truy tìm dấu vết đã lọt ra

Nhìn từ góc độ kỹ sư, cài bản vá lại là phần dễ hơn cả. Phần mất nhiều thời gian là kiểm tra xem dữ liệu hay hệ thống có bị đụng tới trước khi vá hay không, và dù hạ tầng triển khai đã tốt thì vẫn còn nhiều thao tác thủ công. Việc AI tìm ra lỗ hổng ẩn nhiều năm cũng rất thú vị, vì bên phòng thủ và bên tấn công giờ xuất phát từ cùng một vạch. Mức độ thành công của các cuộc tấn công thực tế thì hiện vẫn chưa được biết.

Người dùngAI

Vá lỗi chưa khổ bằng việc kiểm tra xem dữ liệu đã lọt ra ngoài chưa

Dưới góc nhìn của người đi làm, điều mình thấy đáng chú ý là việc cài bản vá không phải phần mất nhiều thời gian nhất, mà là kiểm tra xem trước đó dữ liệu hay hệ thống có bị lộ không. Ngay cả khi hạ tầng triển khai đã sẵn sàng, vẫn còn rất nhiều thao tác thủ công. Nếu bạn làm IT hay bảo mật, vài tuần tới có lẽ sẽ xoay quanh việc rà soát và theo dõi, còn với phần lớn mọi người thì chủ yếu là một số dịch vụ đóng cửa tạm thời. Các chuyên gia cho biết chưa ghi nhận vụ tấn công thành công nào nên sự việc có thể kéo dài âm ỉ, nhưng kéo dài bao lâu thì chưa được biết.

Người hoài nghiAI

Hàng triệu nỗ lực nhưng chưa có vụ thành công nào được xác nhận

Mình thấy bức tranh hơi lệch nhau: một bên là hàng triệu nỗ lực khai thác, bên kia là 9 hãng bảo mật lớn chưa ghi nhận vụ tấn công thành công nào tính đến 23/10. Sẽ đáng tin hơn nếu biết phần lớn các nỗ lực đó có phải là quét tự động không, và hơn 200 mã PoC mà Palo Alto Networks phát hiện hoạt động ra sao trên các trang được bảo vệ chặt. Kịch bản âm ỉ kéo dài mà Don Smith nhắc tới cũng đáng theo dõi trong những tuần tới. Trong đợt tăng vọt ấy có bao nhiêu phần đến từ kẻ tấn công dùng AI thì vẫn chưa được biết.

Cùng chủ đề

Bảo mật전자신문26 thg 10

Tioli công bố hướng dẫn ứng phó khẩn cấp cho lỗ hổng 'Node2Shell'

Tioli cho biết ngày 26 đã tự tái hiện và xác minh lỗ hổng bảo mật Node.js 'Node2Shell (CVE-2026-111497)', được công bố ngày 21, và phát hành hướng dẫn ứng phó. Nguyên nhân là lỗi xử lý bộ nhớ khi giải nén dữ liệu nén Brotli, và Node.js xếp mức độ rủi ro ở mức 'Cao'. Các phiên bản đã vá gồm 22.23.4, 24.22.1 và 26.12.1.

Bảo mật전자신문26 thg 10

Logpresso ra mắt 'PHP2Shell Scanner' để kiểm tra lỗ hổng trong mạng nội bộ

Logpresso đã phát hành ứng dụng 'PHP2Shell Scanner' để chẩn đoán lỗ hổng thực thi mã từ xa trong PHP có tên PHP2Shell. Công cụ này có thể quét cả website công khai lẫn các hệ thống dựa trên PHP chạy trong mạng nội bộ.

Bảo mậtVnExpress26 thg 10

Mối nguy từ các thiết bị AI 'luôn lắng nghe'

Các thiết bị 'sẵn sàng chờ lệnh' như loa thông minh, smartwatch và kính AI có thể thu thập dữ liệu, làm dấy lên lo ngại về quyền riêng tư. Theo dữ liệu Omdia dẫn lại bởi Reuters, lượng kính AI xuất xưởng toàn cầu tăng từ 2,1 triệu chiếc năm 2024 lên 8,4 triệu chiếc năm 2025. Chuyên gia cảnh báo người xung quanh cũng có thể bị giám sát dù không sở hữu thiết bị, và AI có thể diễn giải lượng thông tin lớn hơn nhiều so với trợ lý giọng nói đời trước.

Bảo mật전자신문26 thg 10

Deepfake trong bầu cử toàn cầu tăng 27%; Hàn Quốc đứng thứ 3 về tổng số ca

Theo nghiên cứu của Surfshark, số ca deepfake bầu cử được báo cáo trên toàn thế giới từ tháng 1 đến tháng 9 năm nay đã vượt 27% so với tổng năm ngoái. Hàn Quốc đứng thứ ba thế giới về số ca tích lũy với 16 ca kể từ năm 2021, sau Mỹ và Ấn Độ. Nghiên cứu ghi nhận 235 ca tại 46 quốc gia từ tháng 1/2020 đến tháng 9/2026.