Người làm rò rỉ lỗ hổng PHP lên Hacker News xin lỗi, nói rằng không biết đó là thông tin bí mật

Chuyện gì đã xảy ra

PHP là ngôn ngữ lập trình phổ biến để làm website và ứng dụng web. Hai lỗ hổng bảo mật nghiêm trọng, có tên là PHP2Shell, được tìm thấy trong PHP. Đội bảo mật của PHP định phát hành bản sửa lỗi và chi tiết sau. Thế nhưng một người dùng tên petecooper đã đăng ngày dự định lên Hacker News. Chẳng bao lâu sau, chi tiết lỗi và video demo cách tấn công lan rộng trên mạng. Đội PHP đã đẩy nhanh lịch phát hành và tung ra các bản cập nhật khẩn cấp vào ngày 21 tháng 10 năm 2026, theo giờ Nhật Bản. Nhiều website phải tạm dừng hoạt động để cài bản vá.

Các con số và sự kiện chính

• Hai lỗi có điểm mức độ nghiêm trọng (CVSS) là 10.0, trên thang điểm tối đa 10.0.
• Hai công ty bảo mật Calif và OpenAI đã tìm ra các lỗi này một cách độc lập vào tháng 8 năm 2026.
• Các bản cập nhật khẩn cấp là phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35.
• Các bản cập nhật được phát hành lúc 23:00 giờ Nhật Bản ngày 21 tháng 10 năm 2026.

Lệnh cấm công bố là gì

Lệnh cấm công bố (embargo) là khoảng thời gian đã được thỏa thuận để giữ kín thông tin bảo mật. Nhờ vậy, người dùng phần mềm có thời gian cài bản vá trước khi kẻ tấn công biết cách khai thác lỗi. Trong trường hợp này, lệnh cấm công bố được đặt ra để bảo vệ người dùng PHP cho đến khi bản vá sẵn sàng.

Vì sao chuyện này quan trọng

Khi chi tiết lỗi bị rò rỉ, kẻ tấn công có thể thử dùng chúng trước khi nhiều máy chủ kịp cập nhật. Một số người cho rằng bài đăng giúp chủ website chuẩn bị. Số khác lại cho rằng nó giúp kẻ tấn công có lợi thế hơn. Câu chuyện cho thấy tin tức bảo mật có thể lan nhanh đến mức nào, và việc giữ bí mật trên mạng khó ra sao.

Cần theo dõi điều gì

• Các website có cài xong bản cập nhật PHP hay không.
• Có báo cáo về các cuộc tấn công dùng PHP2Shell hay không.
• Đội bảo mật PHP sẽ thay đổi cách chia sẻ tin về lỗi như thế nào.
• Lời xin lỗi của petecooper có dẫn đến quy định mới về việc đăng thông tin bảo mật hay không.