Lỗ hổng PHP2Shell - khi AI làm đảo lộn giới an ninh mạng

Hai lỗ hổng PHP2Shell đã tồn tại từ lâu và gần như không bị phát hiện, cho đến khi AI giúp phơi bày chúng ra ánh sáng.

Ngày 21/10, PHP Foundation, tổ chức phi lợi nhuận đứng sau ngôn ngữ lập trình PHP, công bố hai lỗ hổng bảo mật mã CVE-2026-109618 và CVE-2026-109619 (gọi chung là PHP2Shell) đang tồn tại trên nền tảng kèm bản cập nhật. Cả hai có mức độ nghiêm trọng rất cao 9,2/10 điểm, tức có thể giúp hacker thực thi mã từ xa, chạy lệnh độc hại trên máy chủ bị ảnh hưởng.

Nói với WSJ, ông Dương Ngọc Thái, CEO Calif Research, cho biết loại lỗ hổng PHP2Shell đã ẩn náu trong mã nguồn PHP nhiều năm, nhưng quá khó để khai thác và phần lớn đã bị lãng quên. Nhưng chính AI đã tìm ra.

PHP và lỗ hổng PHP2Shell

Theo BBC, nhiều người dùng phổ thông có thể chưa nghe đến PHP (Hypertext Preprocessor) nhưng thực tế đang sử dụng hàng ngày. Đây là một ngôn ngữ lập trình mã nguồn mở chạy phía máy chủ web, được phát triển đầu những năm 1990 để hỗ trợ các trang web và ứng dụng động.

Khi người dùng truy cập website, PHP là đoạn mã thu thập dữ liệu và chuyển đổi chúng thành trang có thể đọc được. Dù có nhiều ngôn ngữ lập trình mới ra đời và được đánh giá cao hơn, PHP vẫn là nền tảng sức mạnh của đa số hệ thống website toàn cầu, gồm cả những trang web sử dụng hệ thống quản lý nội dung như Drupal, Joomla và WordPress. Theo thống kê của W3Techs, PHP được sử dụng trên 69,3% tổng số trang web đang hoạt động trên thế giới, với phiên bản 8 chiếm tỷ lệ áp đảo 65,3%.

Ngôn ngữ lập trình này còn được sử dụng để viết nhiều công cụ nhằm xây dựng hoặc tăng tốc quá trình tạo ứng dụng web, với Laravel, Symfony là các framework PHP phổ biến. Ngoài ra, nó cũng tích hợp với thiết bị của nhà cung cấp, bảng điều khiển máy chủ web như cPanel và Plesk, cùng một số ứng dụng Windows.

PHP được duy trì bởi PHP Foundation, gồm các cá nhân và công ty phụ thuộc vào ngôn ngữ này, hướng đến mục tiêu đảm bảo "sự thịnh vượng lâu dài".

Tuy vậy, mọi thứ đang bị đe dọa bởi lỗ hổng bảo mật CVE-2026-109618 và CVE-2026-109619. Cả hai cho phép hacker có thể thực thi mã từ xa trên bất kỳ máy chủ PHP nào mà không cần xác thực, tạo điều kiện cho kẻ xấu đánh cắp dữ liệu và đọc thông tin nhạy cảm.

Theo CNBC, các lỗ hổng đã tồn tại từ lâu, ít nhất từ hai năm trước. Mihail Kirov, khi đó là nhân viên công ty an ninh mạng Quarkslab (Pháp) và hiện là kỹ sư bảo mật sản phẩm tại Tolmo (Mỹ), cho biết nhóm của ông đã tìm ra lỗ hổng có cùng nguyên nhân gốc với PHP2Shell từ năm 2024. "Ngay lập tức, chúng tôi thông báo cho PHP Foundation, nhưng bản vá lỗi chưa bao giờ được triển khai cho đến cách đây ít ngày", Kirov nói với CNBC.

Trong bài đăng trên blog ngày 21/10, PHP Foundation thừa nhận sự chậm trễ là "thất bại về cấu trúc", do liên quan đến quy trình ra quyết định của nhóm bảo mật và sự thiếu nguồn lực gây ra.

Tuy nhiên, Kirov cho rằng việc chậm vá lỗ hổng là điều dễ hiểu khi nguy cơ khai thác thực tế thời gian qua chưa có. Bằng chứng là hai năm qua, điểm yếu này chưa bị hacker lợi dụng.

"Đó là khi các mô hình ngôn ngữ lớn chưa phổ biến như bây giờ", Kirov tiếp tục. "Sự xuất hiện của AI đã chứng minh, vào năm 2026, mọi thứ diễn ra rất nhanh, cho phép mọi người cùng khám phá nhiều khía cạnh về an ninh mạng theo cách khác nhau".

Với AI, mối đe dọa vẫn tiếp diễn

Cơ quan An ninh Quốc gia Mỹ (NSA) cảnh báo hàng triệu tổ chức phải lập tức cài bản vá hoặc đưa máy chủ ngoại tuyến. Nhiều tổ chức chính phủ và doanh nghiệp cũng chủ động "đóng" website hoặc nền tảng để ngăn ngừa sự cố. Pháp, Hà Lan, Đan Mạch, Australia, Nhật Bản, Anh, Singapore... đồng loạt khuyến nghị xem xét tạm ngừng cung cấp dịch vụ nếu cần để giảm thiểu rủi ro.

Matt Suiche, nhà nghiên cứu tại Tolmo, công ty khởi nghiệp về an ninh mạng, cho biết mức độ khẩn cấp này "rất mới". "Ngay cả một năm trước, tình huống như vậy cũng chưa từng tồn tại", ông nói. "Điều khiến mọi thứ trở nên cấp bách như hiện nay là vì tất cả mọi người đều có năng lực được tăng cường nhờ AI, không chỉ bên phòng thủ mà cả những kẻ tấn công".

Các chuyên gia trong ngành đánh giá cuộc chơi an ninh mạng đã bị đảo lộn hoàn toàn kể từ khi Anthropic công bố mô hình Mythos đầu năm nay. Sau đó, hàng loạt công ty như OpenAI, Google, Meta... ra tính năng tương tự.

"Các mô hình đã sẵn sàng, gồm cho cả kẻ xấu", Neatsun Ziv, CEO nhà cung cấp giải pháp an ninh mạng Ox Security, nhận xét. "Trước đây, hacker mất vài tuần để tìm ra một lỗ hổng bảo mật mới, thêm vài tháng để cố khai thác nó trên toàn bộ Internet. Thời gian đó đã giảm xuống còn vài ngày, thậm chí còn vài giờ bắt đầu từ kỷ nguyên Mythos".

Nói với TechTarget, hãng nghiên cứu bảo mật Palo Alto Networks cho biết đã xác định được hơn 22,6 triệu máy chủ có khả năng dễ bị tổn thương bởi PHP2Shell. Tương tự, nền tảng Cloudflare ghi nhận lượng lớn nỗ lực khai thác. "Con số tăng vọt lên hàng chục nghìn trong 45 phút sau thông báo, hàng trăm nghìn trong vòng 2 tiếng, và hiện lên đến hàng triệu", CEO Cloudflare Matthew Prince viết trên X ngày 22/10.

Cũng trên X, Peter Steinberger, "cha đẻ" của OpenClaw, đánh giá lỗ hổng vẫn sẽ "gây ra sự hỗn loạn" trong tuần này, khi các doanh nghiệp và quản trị viên website dùng PHP gấp rút thực hiện bản vá cần thiết.

Theo nhà nghiên cứu an ninh mạng Salil Kanhere từ UNSW Sydney, những nỗ lực khai thác lỗ hổng liên quan đến PHP2Shell sẽ tiếp tục diễn ra trong những tuần tới, bởi các chi tiết kỹ thuật hiện đã được công khai. Ông cho rằng phần mềm hiện đại vô cùng phức tạp. Một số lỗ hổng có thể không được phát hiện nhiều năm dù vẫn tồn tại ở đó. Khi có công cụ đủ mạnh, mọi thứ sẽ bị phơi bày.

"Với sự trợ giúp của AI, hacker sẽ tìm ra kẽ hở mới. Vấn đề chỉ là thời gian", ông chia sẻ với BBC.

Justin Timothy, chuyên gia tư vấn mối đe dọa của nhóm nghiên cứu và tình báo an ninh GuidePoint (GRIT), nhấn mạnh việc săn dấu hiệu sớm vô cùng quan trọng, nhưng các quản trị viên nền tảng cần đề phòng rủi ro trong tương lai. "Hiện chưa có dấu hiệu cho thấy lỗ hổng bị xâm phạm quy mô lớn. Tuy nhiên, kết quả 'sạch' không có nghĩa là đã loại trừ khả năng bị xâm nhập", ông nói với TechTarget.

"Một công ty thậm chí chỉ biết mình bị xâm nhập hệ thống khi dữ liệu bị bán trên mạng sau đó", Ziv của Ox Security cũng nói.

Các phiên bản PHP được vá gồm 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Với những phiên bản hết thời gian hỗ trợ chính thức 7.4, 8.0 và 8.1, bản sửa được cung cấp ở dạng mã nguồn; bản cũ hơn (từ 7.3 trở về trước) không được vá và cần được nâng cấp. Theo Matt Suiche của Tolmo, PHP là ngôn ngữ máy chủ cũ, nên website PHP của nhiều chính quyền thành phố tại Mỹ thậm chí "chưa cập nhật 10 năm qua".

Việc AI hỗ trợ tìm ra lỗ hổng bảo mật nghiêm trọng gợi nhớ đến các cảnh báo an ninh mạng từ giới chuyên gia trước đó. Giữa tháng 10, tỷ phú Bill Gates đánh giá tội phạm mạng có thể dùng mô hình AI tiên tiến để phá vỡ hệ thống tài chính và tống tiền doanh nghiệp. CEO Microsoft Satya Nadella cũng kêu gọi cần phát triển AI tiên tiến đi kèm cơ chế giám sát độc lập và khả năng cách ly, đồng thời đề xuất nút "phanh khẩn cấp". Anthropic dự đoán mô hình AI sẽ "sớm tự nhân bản trong vài tháng tới" và có thể gây thiệt hại nghiêm trọng về an ninh mạng.

Tại Việt Nam, thống kê của BuiltWith cho thấy 143.000 website đang hoạt động sử dụng PHP. Hiệp hội An ninh mạng quốc gia của Việt Nam đánh giá PHP hiện được dùng rộng rãi, nhưng nguy cơ ảnh hưởng với từng hệ thống phụ thuộc nhiều yếu tố, như phiên bản PHP đang sử dụng hay mô hình triển khai website.

"Quan trọng là bản vá đã sẵn sàng, các nhà cung cấp dịch vụ đã bắt đầu ứng phó, các tổ chức có đủ thông tin để hành động. Ưu tiên lúc này là rà soát có hệ thống, vá lỗi đúng thứ tự và giám sát liên tục, thay vì lo lắng quá mức", đại diện Hiệp hội cho hay.

Bảo Lâm tổng hợp

• Hậu trường cuộc đua ngăn chặn 'sự hỗn loạn trên Internet'
• Ngày tồi tệ của Internet