Lỗ hổng PHP nghiêm trọng bị AI phát hiện khiến hàng loạt trang web trên toàn cầu tê liệt

Hai lỗi được phát hiện bằng AI đang đứng sau những sự cố lớn ngày nay đối với 4chan, DeviantArt, Wikipedia và trang blog của các cửa hàng địa phương. Các "lỗ hổng quan trọng" này được tìm thấy trong ngôn ngữ lập trình PHP, vốn là nền tảng của phần lớn internet, bao gồm bất kỳ trang web nào được xây dựng trên WordPress. Nhưng quy mô của nó còn lớn hơn thế nhiều. Một số cơ quan chính phủ Hà Lan và Phần Lan đã tạm ngưng hoạt động các trang web của họ như một biện pháp phòng ngừa. Tài khoản An ninh mạng của NSA trên X khuyến nghị các tổ chức đưa hệ thống của họ ngoại tuyến nếu "việc cập nhật ngay lập tức là không khả thi", tương tự như Trung tâm An ninh Mạng Quốc gia của Vương quốc Anh. Thậm chí Pokémon Home và Pokémon Champions cũng phải ngừng hoạt động, theo báo cáo của Kotaku.

Lỗ hổng này không hẳn là mới. Theo công ty bảo mật Wiz, nó đã tồn tại trong PHP khoảng 20 năm, nhưng việc khai thác nó "đòi hỏi một chuỗi các bước cực kỳ phức tạp, vượt quá giới hạn mà các nhà nghiên cứu con người có thể thực hiện trên thực tế". Tuy nhiên, các mô hình AI mạnh mẽ đã giúp việc biến loại lỗi mơ hồ đó thành các lỗ hổng nguy hiểm trở nên dễ dàng hơn nhiều.

Là một người dùng internet thông thường, bạn có thể tự hỏi hàng loạt thuật ngữ biệt ngữ như "RCE thông qua lỗi hỏng bộ nhớ OOM" có ý nghĩa gì, bạn nên lo lắng đến mức nào và chính xác thì một lỗ hổng nghiêm trọng thế này lại có thể lọt lưới trong thời gian dài như vậy.

PHP là gì?

Dịch vụ khảo sát W3Techs cho biết ngôn ngữ lập trình PHP được sử dụng bởi "69,3% tổng số các trang web có ngôn ngữ lập trình phía máy chủ mà chúng tôi biết", bao gồm các trang phổ biến như Wikipedia và WordPress. Trang web bảo mật internet VirusTotal cho biết máy quét của họ hiện ghi nhận khoảng 3,8 triệu trang web đang chạy PHP với ít nhất một cổng mở.

Điều gì đã xảy ra?

Theo OpenAI, một nhóm bảo mật AI có tên Calif đã xác định được một lỗi PHP "quan trọng" bằng cách sử dụng GPT-5.6 Sol, và Wiz thuộc sở hữu của Google đã độc lập phát hiện và báo cáo các lỗ hổng này bằng AI. Quỹ PHP Foundation cho biết một cách khai thác cho một trong các lỗ hổng đã được "lên lý thuyết" vào năm 2024, nhưng "không tìm thấy véc-tơ cụ thể nào và các vấn đề cụ thể khác có tác động rõ ràng đã lu mờ những mối quan ngại này".

Bây giờ Nhóm PHP cho biết tin tặc có thể sử dụng hai lỗ hổng này để "thực thi mã từ xa không cần xác thực", chẳng hạn như chạy mã của riêng chúng, thay đổi nội dung và truy cập dữ liệu được lưu trữ của trang web mà không cần đăng nhập quản trị viên hoặc mật khẩu.

• RCE thông qua lỗi hỏng OOM, CVE-2026-109618 (GHSA-w8hw-w9fx-j79w): việc xử lý hết bộ nhớ có thể làm gián đoạn PHP trong khi dữ liệu yêu cầu nội bộ chỉ được khởi tạo một phần. Việc dọn dẹp yêu cầu sau đó có thể coi dữ liệu không hợp lệ là hợp lệ.
• RCE thông qua trạng thái toàn cục cũ, CVE-2026-109619 (GHSA-6wmf-4rv5-p3rp): trạng thái nội bộ thuộc sở hữu của yêu cầu có thể tồn tại sau khi bộ nhớ hỗ trợ của nó đã được giải phóng. Một yêu cầu tiếp theo được xử lý bởi cùng một worker có thể sử dụng trạng thái cũ đó trước khi quá trình khởi tạo bình thường thiết lập lại.

Mức độ nghiêm trọng ra sao?

Rất nghiêm trọng. Nhóm PHP cho biết hầu như bất kỳ trang web nào chạy PHP đều gặp rủi ro. OpenAI, đơn vị tham gia nghiên cứu lỗ hổng, cho biết: "Chúng tôi coi đây là một trong những vấn đề bảo mật có sức ảnh hưởng lớn nhất trong thời gian gần đây". Và Wiz cho biết đây là "một trong những lỗ hổng nghiêm trọng nhất từng được phát hiện... trong lịch sử phần mềm".

Đêm qua, Giám đốc Công nghệ (CTO) của Cloudflare cho biết họ đang "chứng kiến các cuộc tấn công ban đầu xuất hiện".

Thật khó để nói giảm nói tránh mức độ tồi tệ mà việc này có thể gây ra. Các lỗ hổng có thể cho phép kẻ tấn công giành quyền kiểm soát hoàn toàn máy chủ. Điều đó bao gồm việc truy cập vào mật khẩu, khóa API, chứng chỉ mã hóa và cơ sở dữ liệu chứa thông tin nhạy cảm. Chúng cũng có thể thực thi mã trên các máy chủ đó, biến chúng thành các véc-tơ để tấn công các máy chủ dễ bị tổn thương khác. Và, nhờ có AI, việc một hacker quyết tâm khai thác các lỗi này là tương đối tầm thường ngay sau khi chúng được tiết lộ.

Bạn có thể làm gì?

Là một người dùng, không có nhiều việc bạn có thể làm. Lỗ hổng này ảnh hưởng đến các máy chủ chạy PHP và không nhất thiết nhắm mục tiêu trực tiếp vào người dùng, nhưng nó có thể sử dụng các trang web bị xâm phạm để phát tán phần mềm độc hại và đánh cắp dữ liệu có giá trị khác. Nếu bạn cảm thấy cực kỳ thận trọng, hãy kiểm tra các tài khoản mạng xã hội của các trang web và dịch vụ mà bạn thường xuyên sử dụng để xem họ có đăng bất kỳ bản cập nhật nào trước khi truy cập hay không.

Nếu bạn sở hữu một trang web, thậm chí là một blog đơn giản, đã đến lúc kiểm tra phiên bản PHP mà trang web của bạn đang sử dụng. Nếu bạn đang sử dụng một dịch vụ như Squarespace hoặc Wix, bạn hoàn toàn an tâm vì những nền tảng đó không hỗ trợ PHP.

Khách hàng của Hostinger, GoDaddy, Bluehost hoặc các dịch vụ lưu trữ web khác nên cẩn trọng hơn. GoDaddy cho rằng bất kỳ trang web nào sử dụng PHP đều phải giả định rằng họ bị ảnh hưởng và cập nhật lên bản phát hành đã vá càng sớm càng tốt. Họ cũng cho biết các trang web chạy PHP 8.1 trở xuống nên nâng cấp lên phiên bản mới hơn, vì các phiên bản đó không còn được hỗ trợ và sẽ không có bản vá chính thức nào được tung ra.

Những người dùng dịch vụ lưu trữ được quản lý (managed hosting) nên kiểm tra với nhà cung cấp của họ để xem khi nào họ có thể mong đợi bản vá được triển khai. Nếu bạn bán sản phẩm, dịch vụ hoặc có bất kỳ dữ liệu nhạy cảm nào trên máy chủ của mình, tốt nhất là nên tạm ngưng trang web cho đến khi nhà cung cấp dịch vụ vá phiên bản PHP của bạn.