Lỗ hổng PHP 9,2 điểm: OpenAI Codex Security góp phần phát hiện

Hai lỗ hổng bảo mật trong công cụ PHP cho phép thực thi mã từ xa đã được phát hiện và vá trước khi tin tin tặc kịp khai thác, với mức độ nghiêm trọng đạt 9,2 điểm. OpenAI cho biết công cụ bảo mật Codex Security của công ty đã góp phần vào việc phát hiện này, theo thông báo ngày 21.

Tham gia phát hiện còn có tổ chức nghiên cứu an ninh Calif và nhóm nghiên cứu của Wiz. Hai lỗ hổng được gán mã CVE-2026-109618 và CVE-2026-109619, cả hai đều đạt 9,2 điểm trên thang CVSS - hệ thống chấm điểm mức độ nghiêm trọng của lỗ hổng từ 0 đến 10, trong đó mức 9 điểm trở lên thuộc nhóm rủi ro cao nhất. Thông tin này được CryptoBriefing đưa tin.

Hai lỗ hổng này cho phép thực thi mã từ xa (RCE) và làm lộ dữ liệu trong bộ nhớ. Thực thi mã từ xa nghĩa là tin tin tặc có thể chạy lệnh của mình trên máy chủ từ xa, còn lộ dữ liệu bộ nhớ nghĩa là có thể đọc được những thông tin nhạy cảm nằm trong bộ nhớ của tiến trình máy chủ. Lỗ hổng không yêu cầu xác thực, do đó có thể bị khai thác mà không cần thông tin đăng nhập. Phạm vi ảnh hưởng trải dài qua nhiều phiên bản PHP, tính từ bản 5.4.0.

Nguyên nhân được xác định là vấn đề an toàn bộ nhớ (memory safety). Cách PHP xử lý tình trạng thiếu bộ nhớ (out-of-memory) cùng với trạng thái toàn cục cũ còn tồn đọng giữa các yêu cầu (stale global state) đã tạo ra lỗ hổng này. Khả năng thực thi mã từ xa đã được xác minh độc lập trên WordPress và Drupal vào tháng 8.

Về quy mô ảnh hưởng, CryptoBriefing cho biết khoảng 70% website phụ thuộc vào PHP có thể bị ảnh hưởng, tuy nhiên cơ sở tính toán con số này chưa được công bố. Các nền tảng được nhắc đến là có khả năng bị lộ gồm WordPress, Drupal và MediaWiki. Quá trình công bố lỗ hổng đã được phối hợp với các tập đoàn hạ tầng lớn như Amazon Web Services (AWS), Google($GOOGL) Cloud và Microsoft($MSFT).

OpenAI gọi trường hợp này là 'Defender's Window' (cửa sổ cho bên phòng thủ) - ý tưởng rằng công cụ AI có thể phát hiện lỗ hổng trước khi tin tin tặc, qua đó cho bên phòng thủ thêm thời gian xử lý. Codex Security là công cụ bảo mật chuyên biệt của OpenAI, và công phát hiện lần này được chia sẻ giữa OpenAI cùng nhóm nghiên cứu của Calif và Wiz.

OpenAI đánh giá đây là một trong những sự cố bảo mật nghiêm trọng nhất gần đây và cho biết sẽ chi 1 tỷ USD để hỗ trợ nhân lực phòng thủ an ninh mạng. Khoản hỗ trợ này được triển khai thông qua dự án Daybreak.

Về khuyến nghị xử lý bản vá, trong khi đội ngũ phát triển PHP công bố bản vá vào ngày 21 (giờ địa phương), các cơ quan an ninh mạng tại châu Âu và Anh khuyến nghị nên cách ly khỏi mạng công cộng hoặc tắt hẳn các máy chủ chưa thể áp dụng bản vá ngay. CryptoBriefing cho biết nếu việc xử lý bị trì hoãn, có thể dẫn đến sự cố an ninh quy mô lớn, gây thiệt hại cho niềm tin người dùng và tài chính doanh nghiệp.

Đối với các đơn vị vận hành website sử dụng PHP, biện pháp cơ bản là cập nhật lên phiên bản PHP đã được vá. Đặc biệt, các quản trị viên WordPress và Drupal cần khẩn trương xử lý.