Hàng loạt website chính phủ Châu Âu vội đóng cửa sau phát hiện lỗ hổng từ kỹ sư Việt

Theo USA Today, vào ngày 21/10, Cơ quan An ninh Quốc gia Mỹ (NSA) cũng ngay lập tức khuyến cáo các tổ chức vận hành website sử dụng PHP ngừng hoạt động hệ thống nếu chưa thể cập nhật bản vá ngay lập tức. Trung tâm Hợp tác An ninh mạng thuộc NSA cảnh báo các lỗ hổng có thể tạo đường dẫn trực tiếp tới hệ thống tệp hoặc cơ sở dữ liệu của máy chủ.

Lỗ hổng có thể bị khai thác từ xa mà không cần mật khẩu hay tài khoản người dùng

Hai lỗ hổng bảo mật trong PHP, mang mã CVE-2026-109618 và CVE-2026-109619 (các nhà nghiên cứu an ninh mạng gọi chung là PHP2Shell), được chấm 9,2/10 trên thang đánh giá mức độ nghiêm trọng CVSS phiên bản 4.0, một khung đánh giá để tính toán các đặc điểm và mức độ nghiêm trọng của các lỗ hổng phần mềm.

Các nhà nghiên cứu tại công ty Calif của kỹ sư Dương Ngọc Thái đã phát hiện vấn đề từ tháng 7 với sự hỗ trợ của một mô hình AI tiên tiến của OpenAI. Nhóm của kỹ sư Dương Ngọc Thái cũng đã thông báo cập nhật trình bày chi tiết về hai lỗ hổng bảo mật CVE-2026-109618, CVE-2026-109619 trong PHP (các lỗi đã được khắc phục trong bản phát hành cập nhật bảo mật PHP). Sau đó, Wiz, công ty an ninh mạng thuộc Google, cũng tham gia phát hiện và phân tích các rủi ro bảo mật liên quan. Vụ việc cho thấy AI có thể hỗ trợ đáng kể việc tìm kiếm những lỗ hổng khó phát hiện, phân tích nguyên nhân và phát triển phương thức khai thác. AI không được xác định là nguyên nhân tạo ra lỗ hổng PHP2Shell, nhưng đã góp phần quan trọng vào quá trình phát hiện và nghiên cứu cách khai thác chúng.

Trong bản thông báo ngày 21/10, OpenAI nhận định những công cụ AI có thể phát hiện điểm yếu ảnh hưởng trên quy mô Internet, song cũng có thể giúp kẻ tấn công phát triển công cụ khai thác nhanh hơn.

Cập nhật thông tin về lỗ hổng bảo mật này cho Tia Sáng, giáo sư Phan Dương Hiệu, trưởng nhóm An ninh mạng - Mật mã tại Trường Viễn Thông thuộc Đại học Bách Khoa Paris, Pháp, giải thích "các lỗ hổng này có thể bị khai thác từ xa, không cần login, không cần mật khẩu hay tài khoản người dùng mà vẫn kiểm soát được dữ liệu trên máy chủ".

Đã phát hiện có các nỗ lực khai thác lỗ hổng

Đáng chú ý, Cloudflare, công ty cung cấp hạ tầng Internet và dịch vụ bảo mật, cho biết đã phát hiện thấy có "các nỗ lực khai thác lỗ hổng, có thời điểm lên tới hàng nghìn lần thử". Những kẻ tấn công còn thay đổi chiến thuật nhằm vượt qua các biện pháp bảo vệ. Tuy nhiên, các nỗ lực tấn công được ghi nhận không đồng nghĩa với việc mọi trường hợp đều đã xâm nhập thành công.

Một vấn đề đáng lo ngại là nhiều website có thể không được vá lỗi. Theo ước tính của nhóm nghiên cứu an ninh mạng Cisco Talos được USA Today dẫn lại, khoảng 50% hệ thống PHP trên toàn cầu có thể không nhận được bản vá chính thức. Nguyên nhân là các website cũ vẫn sử dụng những phiên bản PHP lỗi thời, không còn được hỗ trợ, trong khi việc nâng cấp có thể phức tạp. Những hệ thống này có nguy cơ trở thành mục tiêu để tin tặc chiếm quyền máy chủ, phát tán mã độc hoặc đánh cắp dữ liệu.

Reuters đưa tin, động thái tạm ngừng website để phòng ngừa lỗ hổng PHP lan ra tại nhiều nước châu Âu. Tại Đức, nhà cung cấp dịch vụ công nghệ thông tin liên bang ITZBund tạm ngừng một số website, khẳng định đây là biện pháp phòng ngừa và chưa ghi nhận sự cố an ninh. Ở Pháp, Bộ Nội vụ tạm đóng website chính phủ và các tỉnh trong khi chờ bản vá. Bỉ cũng tạm ngừng các website của Bộ Ngoại giao sau những thông tin về các cuộc tấn công khai thác lỗ hổng, dù trung tâm an ninh mạng nước này cho biết chưa ghi nhận vụ tấn công nào nhằm vào website tại Bỉ. Tại Hà Lan, biện pháp phòng ngừa được áp dụng với nhiều hệ thống, trong đó có website của chính phủ Overheid.nl, Cảng Rotterdam, Liên đoàn Bóng đá Hà Lan, website của năm đảng chính trị lớn nhất và nhiều bệnh viện. Phần Lan tạm ngừng các dịch vụ web công cộng của chính phủ, trong khi Cộng hòa Czech đưa website chính phủ tạm đóng theo khuyến nghị của cơ quan giám sát an ninh mạng để triển khai bản vá. Ngoài các cơ quan nhà nước, bách khoa toàn thư trực tuyến Wikipedia cũng cho biết đang xử lý các lỗ hổng và đã chủ động ngừng một số hệ thống để chờ cập nhật an toàn.

Giải thích thêm về sự việc, giáo sư Phan Dương Hiệu cũng lưu ý rằng, quá trình phát hiện lỗ hổng này cũng cho thấy một nghịch lý mới trong an ninh mạng: AI giúp phát hiện lỗ hổng nhanh hơn, nhưng các tổ chức không phải lúc nào cũng đủ khả năng khắc phục với tốc độ tương ứng. Gần đây, ông cùng nhóm kỹ sư Dương Ngọc Thái thảo luận kỹ lưỡng về các lỗ hổng bảo mật liên quan đến AI, sau đó ông cùng gần 500 nhà khoa học khác ký thư cảnh báo về mối nguy AI đe dọa an ninh mạng.

Các cơ quan an ninh mạng châu Âu đã khuyến cáo những website chưa thể áp dụng bản vá nên tạm thời ngắt kết nối với mạng công cộng. Một số cổng thông tin an ninh mạng của chính phủ châu Âu đã tạm ngừng hoạt động để bảo trì và khắc phục sự cố. Biện pháp quan trọng nhất đối với đơn vị vận hành lúc này là xác định phiên bản PHP đang sử dụng, cập nhật bản vá phù hợp và kiểm tra hệ thống. Người dùng cũng nên duy trì xác thực hai yếu tố cho các tài khoản quan trọng, cập nhật trình duyệt và hệ điều hành, đồng thời cảnh giác với email hoặc tin nhắn giả mạo.