Cơ quan chức năng ở châu Âu, châu Á và nhiều châu lục khác đã tạm thời đưa một số website chính phủ ra khỏi mạng nhằm phòng ngừa các lỗ hổng bảo mật mới được phát hiện trong ngôn ngữ lập trình PHP – nền tảng vận hành phần lớn các trang web trên internet.
Hôm thứ Tư, các lỗ hổng trong PHP đã khiến Cơ quan An ninh Quốc gia Mỹ (NSA) đưa ra cảnh báo công khai hiếm hoi, khuyến nghị các website nên ngừng hoạt động nếu chưa thể cập nhật ngay lập tức.
“Có hiệu lực ngay lập tức, tất cả các tổ chức sử dụng PHP cho hệ thống của mình được khuyến nghị chuẩn bị cho một bản cập nhật xử lý hai lỗ hổng nghiêm trọng”, NSA cho biết trong một bài đăng trên mạng xã hội.
Tại Đức, Bộ Kỹ thuật số cho biết đã đưa một số website ra khỏi mạng như một biện pháp phòng ngừa. Bộ Nội vụ Pháp đã vô hiệu hóa các website chính thức của các cơ quan hành chính địa phương.
Cơ quan chức năng Bỉ, Hà Lan, Phần Lan và Cộng hòa Czech cũng cho biết đã đóng các website để áp dụng bản vá bảo mật nhằm khắc phục lỗ hổng PHP. Thậm chí Thủ tướng Nhật Bản Sanae Takaichi cũng đăng bài trên mạng xã hội để cảnh báo về rủi ro này.
Cặp lỗ hổng có tên PHP2Shell được các chuyên gia an ninh mạng phát hiện với sự hỗ trợ của các mô hình trí tuệ nhân tạo (AI).
Các nhà nghiên cứu tại công ty an ninh mạng Calif, phối hợp với công ty công nghệ OpenAI, đã báo cáo lỗ hổng đầu tiên vào ngày 11/8. Wiz – công ty an ninh thuộc tập đoàn công nghệ Alphabet – báo cáo lỗ hổng thứ hai vào ngày 24/8.
Wiz nhận định các phát hiện này “thuộc nhóm lỗ hổng nghiêm trọng nhất từng được phát hiện trong PHP, và có thể nói là trong lịch sử phần mềm”.
Theo công ty này, các lỗ hổng nền tảng đã tồn tại nhiều thập kỷ, nhưng việc chứng minh chúng có thể bị khai thác đòi hỏi một chuỗi bước “ở giới hạn mà các nhà nghiên cứu con người khó có thể đạt được trên thực tế”.
Các công cụ AI cho phép nhà nghiên cứu tìm ra lỗ hổng phần mềm bằng cách thử nhiều kịch bản tấn công hơn so với khi chỉ dựa vào lập trình viên con người.
Ngôn ngữ PHP được duy trì bởi tổ chức phi lợi nhuận PHP Foundation. Tổ chức này hôm thứ Tư cho biết các lỗ hổng nói trên thuộc nhóm nghiêm trọng nhất mà họ từng gặp.
Nhóm kêu gọi bất kỳ ai quản trị website cần cập nhật mã nguồn ngay lập tức.
Cả hai lỗ hổng đều dựa trên việc truy cập các vùng bộ nhớ mà không được cấp quyền hợp lệ và lợi dụng quyền truy cập đó để chạy mã độc. Hai lỗ hổng này cho phép kẻ tấn công chạy lệnh trên máy chủ sử dụng mã PHP cũ từ xa qua internet, mà không cần mật khẩu hay tài khoản để truy cập hợp pháp vào trang web.
PHP Foundation cũng cảnh báo những điểm yếu bảo mật như vậy sẽ ngày càng dễ bị phát hiện hơn nhờ AI, đồng thời kêu gọi các công ty công nghệ phối hợp ứng phó để tránh gián đoạn lớn đối với các dịch vụ trực tuyến.
“Các công cụ hiện nay phát hiện lỗi nhanh hơn bao giờ hết, đối với cả bên phòng thủ lẫn bên tấn công, và số lượng báo cáo sẽ tiếp tục gia tăng”, tổ chức này cho biết trong một tuyên bố.
