Hatena

Thì ra đây là người đã đăng lên mạng về lỗ hổng PHP. Tôi nghĩ người này sẽ được nhớ đến như kẻ đã đẩy cả thế giới vào cảnh làm việc quá sức

Bảo mậtLần đầu xuất hiện 23 tháng 10, 2026429 điểm

Một người làm nghiên cứu bảo mật đã đăng chi tiết và mã khai thác (PoC) của một lỗ hổng PHP nghiêm trọng lên mạng trước khi có bản vá. Việc này khiến nhiều nhà kỹ thuật trên thế giới phải thức trắng đêm để xử lý.

Chuyện gì đã xảy ra

Lỗ hổng PHP được gọi là PHP2Shell có hai mã CVE là CVE-2026-109618 và CVE-2026-109619. Lỗ hổng này cho phép kẻ tấn công chạy lệnh trên máy chủ từ xa mà không cần đăng nhập. Theo bài viết, một người có tên J4ck3LSyN đã đăng chi tiết kỹ thuật và PoC lên X vào ngày 21/10/2026, trước khi bản vá chính thức ra mắt. Thông tin bị rò rỉ từ trước đó qua một bài đăng trên Hacker News. Kết quả là PHP phải phát hành bản vá khẩn cấp sớm hơn dự kiến.

Các con số và sự kiện chính

Điểm CVSS của lỗ hổng là 9.2 theo bài viết, còn bài đăng rò rỉ ban đầu ghi là 10.0. Điểm càng cao thì càng nguy hiểm.
Bản vá khẩn cấp dự kiến ra mắt lúc 14:00 UTC ngày 21/10/2026, nhưng đã bị đẩy lên sớm.
Ở Nhật, pixiv, DMM và niconico phải bảo trì khẩn cấp hoặc tạm dừng dịch vụ.
Theo bài viết, đã có dấu hiệu tấn công thử trước khi bản vá được phát hành.

Vì sao phải giữ im lặng trước

Khi phát hiện lỗ hổng nghiêm trọng, người phát hiện thường báo cho nhà phát triển trước. Hai bên thống nhất một ngày công bố, gọi là embargo. Trong thời gian này, không ai được công khai chi tiết. Nhờ vậy, người quản trị hệ thống có thời gian cập nhật trước khi kẻ xấu biết cách tấn công. Trong vụ này, thông tin bị lộ trước thời hạn nên khoảng thời gian chuẩn bị gần như bằng không.

Vì sao chuyện này quan trọng

PHP được dùng cho rất nhiều trang web trên thế giới, nên một lỗ hổng như vậy có thể ảnh hưởng đến rất nhiều hệ thống cùng lúc. Khi chi tiết kỹ thuật bị công khai sớm, kẻ xấu có thể học cách tấn công trước khi máy được vá. Nhiều người trong ngành cho rằng hành động này là thiếu thận trọng. Bài viết cũng cho thấy cộng đồng mạng đang chỉ trích rất mạnh, và đây là lời nhắc cho mọi người về việc chia sẻ thông tin bảo mật có trách nhiệm.

Cần theo dõi thêm

Xem các nhà quản trị web đã cập nhật PHP xong hay chưa.
Xem có vụ tấn công thật nào được ghi nhận sau khi chi tiết bị lộ hay không.
Xem có hành động pháp lý hoặc điều tra nào đối với người đăng bài hay không.

Chú giải

PHP: Ngôn ngữ lập trình được dùng rất nhiều để làm các trang web.
PoC: Mã thử nghiệm chứng minh lỗ hổng có thể bị khai thác trên thực tế.
CVE: Mã số chuẩn dùng để gọi tên một lỗ hổng bảo mật.
CVSS: Thang điểm đo mức nguy hiểm của lỗ hổng, từ 0 đến 10.
embargo: Thỏa thuận giữ bí mật thông tin cho đến một ngày công bố đã định.
Hacker News: Trang web tin tức công nghệ, nơi mọi người chia sẻ và thảo luận các bài viết.