Lỗ hổng PHP “công bố PoC sớm”: quỹ hỗ trợ công bố diễn biến, nêu tên các công ty gây nhầm lẫn

Chuyện gì đã xảy ra?

PHP là ngôn ngữ lập trình được dùng để làm nhiều trang web và dịch vụ trên mạng. Trên thế giới có nhiều công ty và tổ chức đang vội vàng sửa lỗi bảo mật trong PHP. Dự án PHP đã phát hành bản cập nhật bảo mật vào tối 21/10 (giờ Nhật). Tuy nhiên, đến ngày 22/10 vẫn có một số công ty phải tạm ngừng website hoặc dịch vụ. Lý do là thông tin về lỗi bị lộ ra trước khi bản vá sẵn sàng. Quỹ PHP Foundation, tổ chức hỗ trợ dự án, đã công bố lại toàn bộ diễn biến trên trang web chính thức.

Các con số và sự kiện chính

• Có 2 lỗ hổng bảo mật, mức độ khẩn cấp (CVSS) thực tế là 9.2, nhưng bị ghi nhầm là 10.0 khi chia sẻ.
• Dự án định phát hành bản vá lúc 23 giờ ngày 22/10, nhưng do bị lộ nên đã đẩy lên 23 giờ ngày 21/10.
• Khoảng 5 giờ sáng ngày 21/10, Calif đã đăng nhầm một video cho thấy cách khai thác lỗi trên nhiều mục tiêu.
• Công ty bảo mật Chainguard đã công bố bản vá sớm hơn hơn 6 tiếng, trái với lệnh giữ bí mật.

Vì sao phải giữ bí mật?

Khi phát hiện lỗi bảo mật, các nhà phát triển thường giữ kín chi tiết cho đến khi bản vá sẵn sàng. Nếu công bố sớm, kẻ xấu có thể tấn công trước khi người dùng kịp cập nhật. Theo PHP Foundation, nhóm phát triển cũng cần thời gian để đóng gói bản vá, vì nếu phát hành ngay thì nhiều người dùng sẽ khó cập nhật được.

Vì sao chuyện này quan trọng?

Vụ việc cho thấy việc công bố lỗi trước thời hạn có thể khiến cả thế giới gặp rủi ro. Kẻ xấu có thể nghiên cứu bản vá để tấn công trước khi người dùng cập nhật. PHP Foundation cho biết sẽ cải thiện quy trình xử lý lỗi phức tạp và kêu gọi các công ty dùng PHP góp tiền hỗ trợ, vì người giỏi về PHP rất cần thiết để bảo vệ hệ thống.

Cần theo dõi điều gì?

• Nhiều công ty sẽ còn phải tạm dừng dịch vụ cho đến khi cập nhật xong.
• Xem PHP Foundation có làm đúng cam kết cải thiện quy trình xử lý lỗi hay không.
• Các công ty dùng PHP có góp tiền hỗ trợ dự án hay không.