Hai lỗ hổng PHP được vá ngày 21: “70% website” là tỷ lệ sử dụng, không phải tỷ lệ bị ảnh hưởng

Hai lỗ hổng PHP cho phép thực thi mã trên máy chủ mà không cần xác thực đã được vá ngày 21 (giờ địa phương). Cả hai đều đạt 9,2 điểm theo CVSS v4.0. OpenAI và công ty bảo mật Wiz cho biết mỗi bên đã phát hiện và báo cáo một lỗ hổng.

Nhóm phát triển PHP phát hành các phiên bản PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35 ngày 21. Nhóm cảnh báo các bản cài PHP xử lý yêu cầu web có thể bị ảnh hưởng. Hai lỗ hổng mang mã CVE-2026-109618 và CVE-2026-109619. Lỗ hổng thứ nhất khiến dữ liệu nội bộ bị giữ ở trạng thái sai trong quá trình xử lý tình trạng thiếu bộ nhớ. Lỗ hổng thứ hai cho phép yêu cầu tiếp theo tham chiếu lại vùng bộ nhớ đã được giải phóng.

Khó quy toàn bộ công phát hiện cho một bên. OpenAI cho biết Calif đã tìm ra lỗ hổng với GPT-5.6 Sol. Wiz nói nhóm nghiên cứu của công ty phát hiện các lỗ hổng ngày 19 tháng 8. Quỹ PHP ghi nhận Calif và OpenAI gửi báo cáo đầu tiên ngày 11 tháng 8. Wiz báo cáo ngày 24 tháng 8, cách hai mốc báo cáo 13 ngày.

Con số “70% website” là cách Wiz mô tả tỷ lệ sử dụng PHP. Ý của công ty là các dịch vụ xây dựng trên PHP, chẳng hạn WordPress, Drupal và Joomla, có thể chịu ảnh hưởng. Không có số liệu nào cho thấy lượng website bị lỗi hoặc bị xâm nhập tương ứng với tỷ lệ này.

Nỗ lực khai thác trước khi công bố chỉ được phát hiện trong honeypot

Đội tình báo mối đe dọa AWS của Amazon($AMZN) cho biết đã phát hiện nỗ lực khai thác lỗ hổng trong honeypot của mình ngày 17. Đội này nói chưa rõ kẻ tấn công lấy thông tin trước khi công bố bằng cách nào. Honeypot là hệ thống mồi được dựng lên để thu hút các cuộc tấn công. Việc phát hiện này không đồng nghĩa máy chủ dịch vụ thực tế đã bị xâm nhập hoặc rò rỉ dữ liệu.

Quỹ PHP cho biết tại thời điểm công bố, họ không tìm thấy mã khai thác hoạt động trong số các PoC (mã chứng minh khái niệm) công khai được theo dõi. Do AWS và quỹ này quan sát các mục tiêu khác nhau, khó so sánh trực tiếp kết quả phát hiện của hai bên.

Lịch công bố đã được đẩy sớm. Sau khi mã định danh lỗ hổng xuất hiện trên các diễn đàn trực tuyến và mạng xã hội trước thời điểm công bố, Quỹ PHP chuyển lịch từ ngày 22 sang ngày 21. Quỹ cho biết trong quá trình này, một video chứa thông tin chi tiết hạn chế về cách tấn công đã được lan truyền; hình ảnh bản dựng cũng được phát hành trước bản vá hơn 6 giờ.

Khuyến nghị tách máy chủ khỏi mạng, một số dịch vụ cũng bị gián đoạn

Với các máy chủ chưa thể áp dụng bản vá ngay, các cơ quan an ninh châu Âu và Anh khuyến nghị tách máy chủ khỏi mạng công cộng hoặc tắt máy. Internet Archive cũng tạm thời ngoại tuyến do ảnh hưởng từ lỗ hổng này, rồi hoạt động trở lại sau khi áp dụng bản vá.

Nhóm phát triển PHP khuyến nghị nâng cấp lên phiên bản đã sửa càng sớm càng tốt. Quỹ PHP lưu ý các biện pháp cấu hình tạm thời có thể giảm mức độ phơi nhiễm trước một số cách tấn công, nhưng không phải giải pháp triệt để. PHP 8.1 trở xuống không còn nằm trong diện cập nhật bảo mật định kỳ của dự án. Một số nhà phân phối và đơn vị hỗ trợ dài hạn có thể phát hành bản sửa riêng; quỹ khuyến nghị những nơi dùng phiên bản cũ xác nhận với nhà cung cấp xem có bản cập nhật hay không.

Daybreak của OpenAI: tác động đến doanh thu vẫn chưa rõ

OpenAI giới thiệu Daybreak là chương trình cung cấp công cụ phát hiện, phân loại lỗ hổng và xác minh bản sửa cho các tổ chức phòng thủ được phê duyệt. Công ty cho biết đã phối hợp với Calif, Wiz và các đơn vị bảo trì trong đợt xử lý PHP lần này. Fortune nhận định OpenAI đang ở vị thế có thể kiếm doanh thu từ các công cụ bảo mật như vậy. Tuy nhiên, tài liệu chính thức chưa cho biết doanh thu trả phí của Daybreak tăng bao nhiêu từ sự việc này.

Quỹ PHP cho biết một số dấu hiệu liên quan đến nguyên nhân gốc của lỗ hổng đã được ghi nhận trong cuộc kiểm toán bảo mật bên ngoài năm 2024. Khi đó, cuộc kiểm toán chưa tìm ra con đường thực thi mã từ xa cụ thể; việc sửa lỗi cũng bị chậm do các đánh đổi liên quan đến khả năng tương thích và nguy cơ từ chối dịch vụ. Quỹ nói thêm PHP từ lâu phụ thuộc vào một nhóm bảo mật nhỏ và đội ngũ bảo trì hạn chế.

Phản ứng trong cộng đồng trực tuyến trái chiều. Các cộng đồng PHP và quản trị hệ thống trên Reddit đăng câu hỏi về việc áp dụng bản vá, cách nhà cung cấp dịch vụ lưu trữ ứng phó và nhu cầu kiểm tra nhật ký sau khi phát hiện nỗ lực khai thác trước thời điểm công bố. Một số người dùng cho biết họ không tìm thấy dấu vết tấn công trong nhật ký của mình, nhưng đây chỉ là quan sát riêng lẻ, không đại diện cho tình hình thiệt hại chung.

Trên Hacker News, một số ý kiến chỉ trích việc phối hợp bản vá trước khi công bố và thời điểm thông báo, đồng thời bày tỏ lo ngại thông điệp mang tính quảng bá doanh nghiệp. Ý kiến khác cho rằng cần chú ý đến tình trạng chậm sửa lỗi và thiếu nguồn lực bảo trì thay vì chỉ tập trung vào người báo cáo.

Đơn vị vận hành website PHP cần kiểm tra trước phiên bản đang dùng có thuộc các bản đã sửa từ PHP 8.2 đến 8.5 hay không, hoặc nhà phân phối hay đơn vị lưu trữ có cung cấp bản vá backport — tức đưa bản sửa bảo mật mới vào phiên bản cũ — hay không.