PHP đã phát hành bản vá, nhưng cập nhật máy chủ vẫn tiếp diễn; CTO Wiz bàn về giới hạn xử lý thủ công

Một số doanh nghiệp và cơ quan đã ngừng vận hành website để ứng phó với hai lỗ hổng PHP; một số nơi tạm dừng dịch vụ cho đến khi cài bản vá. Đội ngũ phát triển PHP đã phát hành phiên bản sửa lỗi, nhưng việc cập nhật trên từng môi trường vận hành vẫn đang diễn ra.

PHP được sử dụng trên khoảng 70% website toàn cầu. TechCrunch cho biết con số này phản ánh mức độ phổ biến của PHP, không phải tỷ lệ website bị ảnh hưởng; thông tin xuất hiện trong phần giới thiệu podcast đăng ngày 29.

Trong thông báo bảo mật ngày 21, đội ngũ phát triển PHP cho biết đã sửa hai lỗ hổng có thể cho phép kẻ tấn công chưa đăng nhập thực thi mã trên máy chủ. Các phiên bản đã sửa gồm PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35.

Hai lỗ hổng được ghi nhận với mã CVE-2026-109618 và CVE-2026-109619. Một lỗi khiến dữ liệu yêu cầu không được dọn dẹp đúng cách khi bộ nhớ cạn; lỗi còn lại khiến trạng thái nội bộ của yêu cầu trước lưu lại và ảnh hưởng đến yêu cầu tiếp theo.

Thực thi mã từ xa là kiểu tấn công trong đó kẻ xấu gửi lệnh từ bên ngoài đến máy chủ có lỗ hổng để máy chủ thực thi. Đội ngũ PHP khuyến nghị cập nhật bảo mật cho các môi trường PHP xử lý yêu cầu web.

TokenPost trước đó đã đưa tin một số website của chính phủ và dịch vụ công ở châu Âu ngừng hoạt động trước khi có bản vá, cũng như khoảng trống cập nhật ở các môi trường dùng PHP 7 và PHP 5. Diễn biến hiện nay chuyển từ phát hành bản sửa lỗi sang áp dụng bản cập nhật trên từng môi trường vận hành.

Việc đăng bản vá trong thông báo bảo mật không đồng nghĩa mọi máy chủ đã được cập nhật. Mức độ bảo vệ thực tế phụ thuộc vào việc từng môi trường có cài bản sửa lỗi phù hợp với phiên bản đang dùng hay không.

Tomer Schwartz, Giám đốc công nghệ (CTO) phụ trách quản lý mức độ phơi nhiễm và bảo mật ứng dụng tại Wiz, chia sẻ trên podcast của TechCrunch về quá trình tham gia khắc phục lỗ hổng. Wiz phối hợp với OpenAI, nhóm nghiên cứu bảo mật Calif và đội ngũ phát triển PHP trong công việc này.

Podcast đề cập đến quá trình nội bộ xử lý lỗ hổng và cách các startup giai đoạn đầu có thể tính đến bảo mật khi xây dựng sản phẩm. Schwartz và người dẫn chương trình cũng bàn về lý do việc xử lý từng lỗ hổng bằng phương pháp thủ công trở nên khó khăn hơn khi tổ chức phát triển lớn mạnh. Đây là vấn đề gắn với khâu áp dụng bản vá còn lại trên từng môi trường sau khi bản sửa lỗi được phát hành.

Nhóm nghiên cứu phát hiện lỗ hổng cho rằng AI có thể làm thay đổi tốc độ phát hiện và khai thác các lỗ hổng mới. Podcast cũng bàn về những thách thức mà thay đổi này đặt ra cho hoạt động ứng phó bảo mật.

Trong dữ liệu quan sát của mình, Wiz cho biết số thiết bị có lỗ hổng và lộ ra Internet được ghi nhận mỗi ngày đã giảm khoảng 67% trong vài ngày sau khi lỗ hổng được công bố. Con số này chỉ phản ánh những thiết bị Wiz quan sát được, không phải tỷ lệ lỗ hổng đã được khắc phục trên toàn bộ máy chủ PHP toàn cầu hay tỷ lệ tấn công thành công.

Wiz cũng cho biết trong cùng dữ liệu, không có nỗ lực khai thác nào mà họ ghi nhận thành công hoàn toàn. Kết quả này chỉ giới hạn trong phạm vi quan sát của Wiz.