Hậu trường cuộc đua ngăn chặn 'sự hỗn loạn trên Internet'

Dù đã phát hiện nhiều tháng trước, các tổ chức bảo mật vẫn phải chạy đua để vá hai lỗ hổng PHP2Shell trước khi bị kẻ xấu lợi dụng trên diện rộng.

"Một ai đó trên Twitter (X) có thể lấy các bản lỗi, dùng AI để tấn công và đăng tải cách khai thác lỗ hổng", Dương Ngọc Thái, CEO công ty Calif Research, nói với WSJ. "Mọi chuyện có thể sẽ trở nên hỗn loạn".

Calif Research, startup bảo mật Mỹ với nhiều thành viên người Việt Nam, là đơn vị đầu tiên phát hiện một trong hai lỗ hổng PHP2Shell. Nó có thể bị khai thác theo nhiều cách, một số chỉ cần vài giây, bởi hacker có thể sử dụng để chạy phần mềm trái phép trên bất kỳ máy chủ web nào chưa được vá lỗi.

Volker Dusch, kỹ sư của tổ chức phi lợi nhuận quản lý dự án PHP thuộc PHP Foundation, đánh giá PHP2Shell là vấn đề bảo mật nghiêm trọng nhất mà PHP phải đối mặt trong hơn một thập kỷ qua. Ông so sánh với Heartbleed, một lỗ hổng lan rộng tương tự đã buộc thế giới phải chạy đua để bảo vệ hàng trăm nghìn máy chủ hơn một thập kỷ trước. Theo Safe Security, Heartbleed được phát hiện tháng 4/2014 trong OpenSSL, cho phép kẻ tấn công gửi yêu cầu đặc biệt để đọc dữ liệu trong bộ nhớ máy chủ, có thể làm lộ mật khẩu, khóa mã hóa, thông tin đăng nhập và dữ liệu nhạy cảm khác mà không cần xác thực.

Nhà nghiên cứu Ryan Austin của Calif Research đã phát hiện ra một trong hai lỗ hổng PHP2Shell bằng mô hình GPT-5.6 Sol của OpenAI trong quá trình kiểm tra mã nguồn PHP vào một ngày cuối tháng 7. OpenAI là đơn vị tài trợ cho cuộc kiểm tra này, vốn là một phần nỗ lực của công ty đứng sau ChatGPT nhằm giúp các dự án mã nguồn mở xử lý lỗi phần mềm bằng AI.

Theo ông Thái, loại lỗ hổng này đã ẩn náu trong mã nguồn PHP nhiều năm qua, nhưng quá khó để khai thác và phần lớn đã bị lãng quên. Nhưng AI đã tìm ra cách.

Bằng mô hình mới nhất của OpenAI, Austin có thể điều khiển code đang chạy trong bộ nhớ máy tính chỉ với vài chục yêu cầu gửi đến máy chủ PHP. Trên các hệ thống nhỏ, việc tấn công chỉ mất vài giây, và mất hàng giờ nếu là hệ thống phức tạp.

Ngày 11/8, ông Thái gọi điện cho Dusch: "Đây là vấn đề nghiêm trọng. Tôi đã có khoảnh khắc tự hỏi: Chúa ơi, giờ chúng ta phải làm gì đây?".

"Làm sao để truyền đạt điều này", Dusch trả lời. "Anh hãy bình tĩnh, để adrenaline chảy qua, và bắt tay vào sửa chữa".

Ngay sau đó, một nhóm làm việc không chính thức được thành lập giữa các nhà nghiên cứu và kỹ sư phần mềm của PHP và Calif Research. Họ hợp tác với một số bên phân phối phần mềm và công ty bảo mật nhằm tìm ra cách vá lỗi PHP2Shell, ngăn chặn bị khai thác.

Chia sẻ với CNBC, OpenAI cho biết các nhà nghiên cứu đã phát hiện hai lỗ hổng nghiêm trọng trong PHP bằng mô hình GPT-5.6 Sol từ hai tháng trước, thông qua liên minh gồm các nhà bảo trì phần mềm, giới nghiên cứu an ninh mạng và đơn vị cung cấp bảo mật, phối hợp các bản vá lỗi và chuẩn bị các biện pháp bảo vệ trước khi công bố rộng rãi.

Cùng thời gian, nhóm nghiên cứu an ninh mạng Wiz của Google cũng có phát hiện tương tự. Trên blog, công ty cho biết đã tìm ra hai lỗ hổng bảo mật PHP thông qua mô hình Gemini 4 Argon. "Gemini 4 Argon có đóng góp vô cùng quan trọng trong việc tìm ra lỗ hổng, phát triển khai thác, phát hiện tấn công và xác thực bản vá", Google cho biết.

"PHP2Shell là lỗ hổng bảo mật nghiêm trọng nhất từng được AI tìm thấy, và có lẽ quá phức tạp để có thể phát hiện nếu không có AI", Ami Luttwak, đồng sáng lập Wiz, nhấn mạnh.

Trở lại với nhóm của Calif Research, ông Thái cho biết nhóm nghiên cứu chung đã giữ bí mật tuyệt đối về sự tồn tại của PHP2Shell, đồng thời đẩy nhanh tiến độ tìm cách khắc phục. Họ lo sợ hacker cũng dùng AI để phát hiện và khai thác lỗ hổng trước khi bản vá hoàn thành. Quá trình được đánh giá "vô cùng quy mô", khi phải sửa chữa gần 200 tập tin. Các nhà phát triển đã viết hơn 10.000 dòng code trong suốt quá trình này.

Cuối cùng, ngày phát hành bản vá được ấn định, là 22/10.

Thế nhưng, điều không tránh khỏi đã xảy ra: thông tin lỗ hổng bất ngờ công khai trên Hacker News ngày 21/10. Lúc này, Dusch và nhóm quyết định tung ra bản vá sớm, đồng thời kêu gọi các quản trị viên cập nhật lập tức.

"Đó là sự cân bằng tốt giữa việc cung cấp thông tin cho bên phòng thủ và cách để không cho phép kẻ tấn công có quá nhiều thời gian phát triển công cụ khai thác lỗ hổng", Dusch nói thêm.

Một số dấu hiệu cho thấy lỗ hổng đang bị khai thác thực tế. "Đúng như dự đoán, chúng tôi ghi nhận lỗ hổng PHP mới nhất đã bị lợi dụng", nhà nghiên cứu Jake Knott của công ty an ninh mạng WatchTowr nói với CNet. "Chưa ai thành công, nhưng điều đó có thể sẽ không kéo dài lâu".

Mức độ ảnh hưởng

Nói với TechTarget, hãng nghiên cứu bảo mật Palo Alto Networks cho biết đã xác định được hơn 22,6 triệu máy chủ có khả năng dễ bị tổn thương bởi PHP2Shell.

Trên X, Peter Steinberger, "cha đẻ" của OpenClaw, đánh giá lỗ hổng vẫn sẽ "gây ra sự hỗn loạn" trong tuần này, khi các doanh nghiệp và quản trị viên website dùng PHP gấp rút thực hiện bản vá cần thiết.

Thực tế, ngày càng nhiều tổ chức chính phủ, doanh nghiệp chủ động "đóng" website hoặc nền tảng để ngăn ngừa sự cố. Bên cạnh Pháp, Hà Lan, Đan Mạch và Australia, mới nhất, Thủ tướng Nhật Bản Sanae Takaichi cảnh báo doanh nghiệp nước này nên xem xét tạm ngừng cung cấp dịch vụ nếu cần thiết để giảm thiểu rủi ro. "Hãy kiểm tra các trang web công khai của quý vị có sử dụng PHP hay không và chuẩn bị áp dụng bản vá lỗi được phát hành, càng sớm càng tốt", bà Takaichi viết trên X.

Theo CNBC, cuộc chạy đua tung bản vá của PHP và các nhóm an ninh mạng đã giúp ngăn chặn "thảm họa Internet" có thể xảy ra. Trang này nhấn mạnh tầm quan trọng của AI trong bối cảnh các lỗ hổng ngày càng dễ phát hiện, có thể gây ra rủi ro trên nhiều ngành nghề và quốc tế. Một bên, AI đóng vai trò hỗ trợ nhà nghiên cứu bảo mật phát hiện và khắc phục những điểm yếu, với bên còn lại cố gắng dùng AI khai thác kẽ hở bảo mật.

Nhà phân tích Madelein van der Hout của hãng nghiên cứu Forrester cho rằng điều khiến PHP2Shell trở nên nghiêm trọng là vị trí chúng tồn tại. PHP là nền tảng của khoảng 70% trang web và ứng dụng, vì thế, chỉ kiểm tra và cung cấp bản vá tức thời thôi là chưa đủ.

"Tốc độ rất quan trọng, nhưng việc vá lỗi chỉ là một phần của giải pháp", bà Hout nói. "Các nhóm bảo mật cần xác định PHP đang chạy ở đâu, ưu tiên nơi dễ bị tấn công, áp dụng bản vá chính thức kịp thời và điều tra các dấu hiệu xâm phạm. Bản vá chỉ khắc phục lỗ hổng, chưa thể loại bỏ quyền truy cập mà kẻ tấn công có thể đã thiết lập".

Justin Timothy, chuyên gia tư vấn tình báo mối đe dọa của nhóm nghiên cứu và tình báo an ninh GuidePoint (GRIT), nhấn mạnh việc săn lùng các dấu hiệu sớm vô cùng quan trọng, nhưng các quản trị viên nền tảng cần đề phòng rủi ro trong tương lai. "Hiện chưa có dấu hiệu cho thấy lỗ hổng này bị xâm phạm quy mô lớn. Tuy nhiên, kết quả 'sạch' không có nghĩa là đã loại trừ khả năng bị xâm phạm", Timothy nói với TechTarget.

Trong khi đó, Hiệp hội An ninh mạng quốc gia của Việt Nam nhận định PHP hiện được dùng rộng rãi, nhưng nguy cơ ảnh hướng với từng hệ thống phụ thuộc nhiều yếu tố, như phiên bản PHP đang sử dụng hay mô hình triển khai website. "Quan trọng là bản vá đã sẵn sàng, các nhà cung cấp dịch vụ đã bắt đầu ứng phó, các tổ chức có đủ thông tin để hành động. Ưu tiên lúc này là rà soát có hệ thống, vá lỗi đúng thứ tự và giám sát liên tục, thay vì lo lắng quá mức", đại diện Hiệp hội đánh giá.

Bảo Lâm tổng hợp

• Ngày tồi tệ của Internet