Các cơ quan an ninh mạng và một số chính phủ đã phát cảnh báo về những lỗ hổng được công bố tuần này trong PHP, ngôn ngữ lập trình được sử dụng rộng rãi trên các website.
Ngày 20/10, nhóm phát triển PHP cho biết đã xác định hai lỗ hổng nghiêm trọng, đồng thời nhấn mạnh người dùng cần cập nhật hệ thống. Đầu ngày 21/10, nhóm thông báo phiên bản mới khắc phục các lỗ hổng đã được phát hành.
Theo The Epoch Times, PHP được ước tính sử dụng trên khoảng 70% website. Con số này phản ánh mức độ phổ biến của ngôn ngữ, không có nghĩa tất cả những website đó đã bị tấn công.
Huntress, doanh nghiệp giám sát các vụ xâm nhập an ninh, cảnh báo đầu tuần rằng thông tin chi tiết về hai lỗ hổng đã bị rò rỉ trên mạng trước thời điểm công bố phối hợp và trước khi các bản vá được phát hành. Công ty cho biết đã có những báo cáo về hoạt động tấn công và khuyến nghị chủ website nhanh chóng cập nhật.
Huntress giải thích PHP âm thầm vận hành các website WordPress, Drupal, Joomla và Magento, các nền tảng lưu trữ dùng chung, bảng điều khiển cùng nhiều phần mềm khác không thể hiện rõ rằng chúng sử dụng PHP. Khi lỗi nghiêm trọng nằm trong bản thân PHP thay vì trong một ứng dụng xây dựng trên ngôn ngữ này, số vị trí cần kiểm tra để tìm phiên bản dễ bị tấn công sẽ tăng rất nhanh.
WordPress, Wikipedia, Etsy, Tumblr, Facebook và Flickr nằm trong số các website phổ biến sử dụng ngôn ngữ này, theo một website theo dõi mức độ sử dụng PHP được bài nguồn dẫn lại.
Ngày 21/10, blog an ninh mạng KrebsOnSecurity nhận định người dùng có thể gặp khá nhiều trang báo lỗi trong ngày, khi các website phải cập nhật phần mềm lõi nhằm khắc phục hai lỗ hổng có thể cho phép kẻ tấn công chiếm toàn quyền kiểm soát máy chủ bị ảnh hưởng.
Chưa rõ thông tin chi tiết về lỗ hổng PHP đã bị phát tán bằng cách nào trước khi bản sửa lỗi được đưa ra. Công ty an ninh mạng watchTowr viết trên X rằng họ có thể xác nhận việc phát tán thông tin là có thật, đồng thời kêu gọi mọi người nghiêm túc xử lý và áp dụng bản vá ngay khi có thể.
Giám đốc công nghệ Cloudflare Dane Knecht cho biết trên X rằng công ty đang chứng kiến những cuộc tấn công ban đầu và đang cập nhật biện pháp giảm thiểu khi xuất hiện các hướng tấn công mới. Ông cũng khuyến nghị người dùng vá hệ thống.
Trong tuyên bố ngày 21/10, Trung tâm An ninh mạng Quốc gia Anh cho biết lỗ hổng có thể cho phép kẻ tấn công kích hoạt tình trạng hết bộ nhớ trong PHP, dẫn đến hỏng bộ nhớ. Theo cơ quan này, trong một số điều kiện, tình trạng đó có thể bị khai thác để thực thi mã từ xa mà không cần xác thực. Cơ quan cảnh báo các tổ chức sử dụng ngôn ngữ này cần xử lý nguy cơ.
Tại Hà Lan, một số tổ chức đã làm theo khuyến nghị của cơ quan an ninh mạng quốc gia và tạm ngừng các website hướng tới công chúng. Trong đó có Cảng Rotterdam, cổng chính phủ Overheid.nl, hiệp hội bóng đá quốc gia, website của năm đảng chính trị lớn nhất nước và một số bệnh viện.
Công ty công nghệ thông tin phục vụ các đô thị Đan Mạch Kombit cho biết đã ngừng một số dịch vụ, bao gồm nền tảng liên lạc trường học quốc gia. Tại Phần Lan, đơn vị cung cấp dịch vụ công nghệ thông tin nhà nước Valtori thông báo các dịch vụ mạng công của chính phủ được tạm ngừng như một biện pháp phòng ngừa.
Bộ Nội vụ Pháp cho biết đã tạm ngừng các website hành chính địa phương trong khi chờ bản sửa lỗi bảo mật.
Thông tin cập nhật từ nhóm phát triển PHP
Trong thông báo chính thức ngày 21/10, nhóm PHP xác định các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35 đã sửa hai lỗ hổng CVE-2026-109618 và CVE-2026-109619. Nhóm khuyến nghị người dùng cập nhật ngay. WordPress cũng lưu ý đây là vấn đề của PHP, ảnh hưởng tới máy chủ lưu trữ ứng dụng PHP; không có bản cập nhật WordPress riêng được yêu cầu hoặc dự kiến để xử lý hai lỗi này.
Phần thông tin cập nhật trên do biên tập bổ sung từ nguồn chính thức.
Theo Jack Phillips, The Epoch Times. Reuters đóng góp cho bài nguồn. Đối chiếu: PHP; WordPress.