PHP vá 2 lỗ hổng nghiêm trọng điểm 9.2, khuyến cáo ngắt máy chủ

Nhóm phát triển PHP đã phát hành bản vá bảo mật khắc phục 2 lỗ hổng nghiêm trọng đạt điểm 9.2/10 vào ngày 21/10 (giờ địa phương). PHP là ngôn ngữ lập trình được sử dụng rộng rãi trong phát triển website và ứng dụng web. Những máy chủ chưa thể cập nhật bản vá ngay có nguy cơ bị tấn công, nên các cơ quan an ninh mạng tại châu Âu và Anh đã khuyến cáo ngắt các máy chủ này khỏi mạng công cộng hoặc tạm ngừng hoạt động.

Theo The Verge, nhóm phát triển PHP đã công bố thông báo bảo mật (advisory) vào ngày 20/10 (giờ địa phương) để cảnh báo mức độ nghiêm trọng của lỗ hổng. Bản vá ban đầu dự kiến phát hành vào 10h sáng ngày 21/10 theo giờ miền Đông nước Mỹ, tương đương 21h cùng ngày theo giờ Việt Nam, và việc phát hành sau đó đã được xác nhận.

Công ty an ninh mạng watchTowr cho biết lỗ hổng lần này thuộc loại thực thi mã từ xa (RCE). Đây là lỗi cho phép kẻ tấn công từ bên ngoài chạy mã tùy ý trên máy chủ, từ đó chiếm quyền chỉnh sửa website hoặc đánh cắp dữ liệu.

Phạm vi ảnh hưởng của lỗ hổng khá rộng. watchTowr cho biết tất cả phiên bản PHP từ PHP 5 trở đi đều có thể bị ảnh hưởng. Wordfence, công ty phát triển plugin bảo mật cho WordPress, cảnh báo mọi website WordPress chạy trên máy chủ PHP đều dễ bị tấn công.

Wordfence giải thích bản vá này không thể cài đặt qua cập nhật tự động, mà người quản trị website phải tự tay thực hiện. WordPress từng công bố năm ngoái rằng sản phẩm của họ chiếm hơn 40% nội dung trên internet, nhưng con số này chỉ phản ánh thị phần của WordPress, không đồng nghĩa phạm vi ảnh hưởng của lỗ hổng lần này vượt 40% internet.

Nhóm ứng cứu khẩn cấp máy tính của Liên minh châu Âu (CERT-EU) và Trung tâm An ninh mạng Quốc gia Anh (NCSC) khuyến cáo các doanh nghiệp chưa thể vá lỗi ngay nên ngắt các ứng dụng đang kết nối internet khỏi mạng công cộng, hoặc ngừng hoàn toàn dịch vụ. Đây là dấu hiệu cho thấy mức độ rủi ro đã cao tới mức buộc phải tạm dừng hoạt động.

Gina Peter Banyard, nhà phát triển PHP, cũng đưa ra quan điểm tương tự, cho rằng bản vá là biện pháp giảm thiểu duy nhất và nếu chưa thể áp dụng, việc tắt máy chủ có thể là lựa chọn khôn ngoan nhất.

Đã xuất hiện dấu hiệu bị tấn công. Dane Knecht, Giám đốc công nghệ (CTO) của Cloudflare(NET), cho biết "chúng tôi đang thấy những cuộc tấn công ban đầu xuất hiện", cho thấy các cuộc tấn công nhằm vào website chạy trên PHP đã bắt đầu. Cloudflare hiện đang tạm thời cập nhật các quy tắc tường lửa trong lúc chờ bản vá được áp dụng rộng rãi.

Công ty nghiên cứu các mối đe dọa Sansec dự báo các cuộc tấn công quy mô lớn có thể bắt đầu chỉ trong vòng 15 phút sau khi bản vá được công bố. Thông thường, ngay khi bản vá được phát hành, kẻ tấn công có thể phân tích phần mã đã sửa để tạo ra mã khai thác, nên khoảng thời gian giữa lúc công bố bản vá và lúc người dùng thực sự cập nhật được xem là giai đoạn nguy hiểm nhất.

GrapheneOS, nhà phát triển hệ điều hành di động, cho biết việc phát triển mã khai thác thử nghiệm (PoC - Proof of Concept) đang được tiến hành, và đã tạm ngừng diễn đàn thảo luận của người dùng. PoC là đoạn mã tấn công minh họa được tạo ra để chứng minh lỗ hổng có thể bị khai thác trong thực tế.

Các đơn vị đang vận hành website dựa trên PHP cũng cần nhanh chóng kiểm tra tình trạng cập nhật bản vá thông qua nhà cung cấp dịch vụ lưu trữ (hosting) hoặc bộ phận kỹ thuật của mình.