Các trang web tại châu Âu và nhiều nơi khác đang khẩn trương khắc phục một lỗ hổng bảo mật trong ngôn ngữ lập trình PHP – lỗ hổng được trí tuệ nhân tạo (AI) phát hiện – vốn có thể khiến các trang web này trở nên dễ bị tin tặc tấn công – Ảnh: Takashi Miyazaki/Nikkei
Tại Anh, Văn phòng Thủ tướng cho biết một số dịch vụ chính phủ có thể tạm ngừng để xử lý nguy cơ an ninh mạng, nhưng các dịch vụ thiết yếu quy mô lớn phục vụ công chúng không bị ảnh hưởng. Chuyên gia chính phủ đang phối hợp với OpenAI và đối tác quốc tế xác định, khắc phục những điểm có thể bị khai thác.
Phần Lan đã xử lý tình trạng gián đoạn trên trang web nhưng vẫn khôi phục một số nội dung còn thiếu. Tại Nhật Bản, dịch vụ dịch tự động trên trang web chính quyền tỉnh Osaka chưa hoạt động do sự cố hệ thống.
Thủ tướng Nhật Bản Takaichi Sanae kêu gọi các đơn vị quản trị kiểm tra việc sử dụng PHP và cài đặt bản vá phát hành tối 21-10. Bà cho rằng tạm ngừng trang web là biện pháp giảm rủi ro hiệu quả nếu chưa thể cập nhật ngay. Chánh Văn phòng Nội các Nhật Bản Minoru Kihara cho biết chính phủ chưa nhận được báo cáo thiệt hại từ các cuộc tấn công mạng liên quan đến lỗ hổng.
Tin tặc dò tìm lỗ hổng từ trước khi có bản vá
Bộ phận an ninh mạng của Amazon cho biết hệ thống MadPot ghi nhận một lượt tìm cách khai thác lỗ hổng PHP từ ngày 17-10, sớm hơn bốn ngày so với thời điểm công bố và phát hành bản vá.
Các lượt tiếp theo sử dụng mã tấn công và hạ tầng che giấu địa chỉ khác nhau, cho thấy có thể có nhiều đối tượng tham gia. Amazon chưa xác định các lượt này có thành công trên hệ thống thực tế hay không, đồng thời khuyến nghị các tổ chức rà soát dấu hiệu xâm nhập từ ít nhất ngày 17-10.
Amazon nhấn mạnh nâng cấp PHP là cách duy nhất khắc phục đầy đủ cả hai lỗ hổng; thay đổi cấu hình chỉ giúp giảm một phần nguy cơ.
Đáng chú ý, các lỗ hổng đã được biết đến ít nhất từ năm 2024. Theo PHP Foundation, tổ chức hỗ trợ phát triển PHP, nhóm bảo mật từng đưa ra một số phương án xử lý nhưng đều có hạn chế. Khi khả năng khai thác thực tế chưa rõ ràng, quá trình khắc phục bị đình trệ.
PHP Foundation thừa nhận sự chậm trễ xuất phát từ bất cập trong quy trình ra quyết định và tình trạng thiếu nguồn lực.
OpenAI cho biết đã phối hợp với các nhà nghiên cứu, nhà cung cấp dịch vụ bảo mật và các bên liên quan xử lý lỗ hổng trong hai tháng qua, với sự hỗ trợ của các tác nhân trí tuệ nhân tạo (AI). Các nhà nghiên cứu tại công ty an ninh mạng Wiz cũng độc lập sử dụng AI để xác định lỗ hổng.
Khắc phục toàn diện có thể mất nhiều năm
Theo ông James Sullivan, Giám đốc phụ trách an ninh mạng và công nghệ tại Viện Các quân chủng thống nhất Hoàng gia Anh (RUSI), hai lỗ hổng cho phép tin tặc có thể kiểm soát máy chủ web từ xa mà không cần mật khẩu, từ đó đánh cắp, sửa đổi dữ liệu hoặc dùng hệ thống làm bàn đạp tấn công. Ông đánh giá việc tạm ngừng trang web trong thời gian vá lỗi là biện pháp quản lý rủi ro phù hợp.
Ông Charl van der Walt, phụ trách nghiên cứu bảo mật tại Orange Cyberdefense, cảnh báo tác động của sự cố có thể tiếp tục bộc lộ trong những tuần và tháng tới. PHP nằm sâu trong nhiều ứng dụng, hệ thống nên một số đơn vị có thể chưa nhận biết đầy đủ việc mình đang sử dụng ngôn ngữ này.
Các tổ chức cần rà soát nơi triển khai PHP, xác định đơn vị chịu trách nhiệm và đánh giá khả năng cài đặt bản vá. Theo ông van der Walt, hoạt động khắc phục sẽ tập trung mạnh trong vài tuần tới, nhưng cập nhật toàn bộ hệ thống còn sót lại có thể mất nhiều tháng, thậm chí nhiều năm. Một số dịch vụ cần chờ bản vá phù hợp và kiểm thử trước khi hoạt động trở lại.
Sự cố cũng cho thấy vai trò hai mặt của AI trong an ninh mạng: giúp phát hiện điểm yếu nhanh hơn nhưng đồng thời hỗ trợ tin tặc phát triển mã khai thác. Theo ông van der Walt, bên tấn công hiện hưởng lợi từ AI nhiều hơn bên phòng vệ, do bản vá vẫn phải qua quá trình kiểm thử và phê duyệt.
Tối 21-10, PHP Foundation phát hành bản vá và hướng dẫn cập nhật. Cùng ngày, Cục Điều tra liên bang Mỹ (FBI) và Cơ quan An ninh mạng Liên minh châu Âu (ENISA) kêu gọi các tổ chức khẩn trương xử lý lỗ hổng. FBI khuyến nghị tạm ngừng kết nối website nếu chưa thể cập nhật ngay.