Một cặp lỗ hổng nghiêm trọng trong PHP, ngôn ngữ lập trình vận hành ước tính 70% website, đã gây ra một cuộc chạy đua vá lỗi toàn cầu trong tuần này sau khi các nhà nghiên cứu chứng minh các lỗi này có thể trao cho kẻ tấn công quyền kiểm soát máy chủ mà không cần mật khẩu.
Các lỗ hổng được tìm ra bằng mô hình OpenAI, phối hợp với các công ty bảo mật Wiz và Calif. Nhóm này đặt biệt danh cho bộ lỗi là PHP2Shell. Một trong các lỗ hổng đã tồn tại trong ngôn ngữ này suốt 14 năm.
Lỗ hổng cho phép điều gì
Kẻ tấn công có thể chiếm quyền điều khiển các máy chủ web bị ảnh hưởng mà không cần xác thực và đọc bộ nhớ có thể chứa mật khẩu và dữ liệu phiên. Vì PHP nằm dưới WordPress, Drupal và một danh sách dài các trang tùy chỉnh, mức độ phơi nhiễm chạm tới bệnh viện, nhà bán lẻ và cổng thông tin chính phủ, không chỉ các công ty công nghệ.
Wiz so sánh mức độ nghiêm trọng với Heartbleed, lỗi mã hóa năm 2014 đã làm lộ dữ liệu trên phần lớn web. Các nhà nghiên cứu nói lỗ hổng đủ khó để nằm ở ranh giới khả năng khai thác của con người, và dễ đối với một tác nhân AI có thể tự thực hiện các bước tấn công.
Ai đã yêu cầu các tổ chức hành động
Cơ quan An ninh Quốc gia Mỹ và cơ quan an ninh mạng của Liên minh châu Âu khuyến nghị vá ngay lập tức. Cả hai nói rằng các hệ thống không thể cập nhật nhanh nên được đưa ra ngoại tuyến. Một số trang chính phủ châu Âu đã làm đúng như vậy, và một phần dịch vụ công của họ tối đen trong một ngày.
Giám đốc công nghệ của Cloudflare, Dane Knecht, nói công ty đã thấy các nỗ lực tấn công sớm trước khi bản vá được công bố. OpenAI phát hành một công cụ để quản trị viên chạy kiểm tra xem một bản cài đặt có bị phơi nhiễm hay không.
Tại sao việc công bố bị gấp rút
Chi tiết bị rò rỉ trực tuyến trong tuần này, buộc những người duy trì PHP phải công bố khuyến cáo và bản cập nhật sớm hơn dự kiến. Điều đó rút ngắn khoảng cách giữa cảnh báo và khai thác, khoảng cách mà lực lượng phòng thủ dựa vào nhiều nhất.
Sự việc này có hai mặt. AI tìm ra một lỗi mà nhiều năm rà soát của con người đã bỏ sót, và cùng năng lực đó có thể giúp kẻ tấn công viết mã khai thác nhanh hơn. Các đội bảo mật giờ đối mặt một bài kiểm tra đơn giản: vá, hoặc ngắt kết nối.