5 phút đọc
Ngôn ngữ lập trình PHP – nền tảng vận hành khoảng 70% website trên toàn thế giới – vừa trở thành tâm điểm của một đợt báo động bảo mật nghiêm trọng. Việc phát hiện hai lỗ hổng PHP2Shell cho phép thực thi mã từ xa đã buộc giới an ninh mạng toàn cầu phải trải qua 48 tiếng thức trắng để cập nhật bản vá, trong bối cảnh các cuộc tấn công thử nghiệm tăng vọt từ hàng nghìn lên hàng triệu lượt nhờ sự hỗ trợ của trí tuệ nhân tạo.
Mối đe dọa từ PHP2Shell và làn sóng tấn công tự động
Ngày 21/10, hai lỗ hổng bảo mật mang tên PHP2Shell chính thức được công khai. Chúng cho phép tin tặc thực thi mã từ xa trên bất kỳ máy chủ PHP nào mà không cần xác thực, từ đó tạo điều kiện để kẻ xấu đọc thông tin nhạy cảm và đánh cắp dữ liệu. Dù đã ẩn náu trong mã nguồn PHP suốt nhiều năm nhưng do quá phức tạp, lỗ hổng này từng bị lãng quên cho đến khi AI phát hiện ra.
Tốc độ thăm dò của kẻ xấu diễn ra với quy mô chưa từng có. Theo bài đăng ngày 22/10 trên mạng xã hội X của ông Matthew Prince, CEO Cloudflare, diễn biến khai thác gia tăng theo từng phút:
- 10 tiếng trước khi công bố: Ghi nhận hàng nghìn nỗ lực khai thác trên toàn mạng lưới Cloudflare.
- 45 phút sau thông báo: Con số vọt lên hàng chục nghìn.
- Sau 2 tiếng: Tăng lên hàng trăm nghìn.
- Hiện tại: Đã chạm mốc hàng triệu lượt dò quét.
Hàng loạt hạ tầng tạm dừng, chuyên gia an ninh mạng kiệt sức
Nhằm đảm bảo an toàn và đánh giá lại hệ thống, hàng loạt trang web chính phủ cùng dịch vụ công như ngân hàng, hàng không, đường sắt, thuế… từ Tokyo (Nhật Bản) đến Helsinki (Phần Lan) đã chủ động tạm thời đóng cửa.
Ông Matt Suiche, nhà nghiên cứu tại công ty an ninh mạng Tolmo, nhận định mức độ khẩn cấp lần này là “rất mới” và chưa từng xuất hiện một năm trước. Nguyên nhân chính khiến tình hình trở nên cấp bách là do cả bên phòng thủ lẫn bên tấn công đều được gia tăng năng lực nhờ AI. Bà Madeline Lawrence, đồng sáng lập công ty Aikido Security (Bỉ), cũng giải thích rằng các doanh nghiệp đang phải vật lộn cập nhật hệ thống trước khi hacker kịp dùng AI để khai thác thành công.
“Rất lâu rồi tôi mới thấy một sự cố như thế. Tôi biết giới nhân viên công nghệ và an ninh mạng đã trải qua ngày dài vất vả”, CEO Microsoft Satya Nadella chia sẻ tại một sự kiện ở Đức ngày 22/10.
Chia sẻ về hậu trường xử lý sự cố, ông Nick Woodhead, nhà sáng lập GPTree và Giám đốc công nghệ tại Rothco and Compubox, cho biết ông đã phải thức liên tục 48 tiếng từ tối thứ Ba đến ngày 23/10. Theo ông, thách thức không chỉ ở việc cài bản vá mà còn phải đảm bảo hệ thống không bị rò rỉ dữ liệu từ trước đó, đòi hỏi rất nhiều thao tác thủ công dù đã có sẵn hạ tầng triển khai.
Tin tặc gặp khó trong thực tế nhưng rủi ro vẫn chực chờ
Mặc dù ghi nhận hàng triệu lượt rà quét, các dữ liệu tính đến ngày 23/10 cho thấy tin tặc vẫn chưa thể khai thác thành công lỗ hổng này trên thực tế. Nhóm nghiên cứu từ 9 công ty an ninh mạng hàng đầu – bao gồm CrowdStrike, ESET, Google Threat Intelligence Group, Huntress, Palo Alto Networks, Recorded Future, SecureWorks, Sophos và Trail of Bits – đều chưa phát hiện cuộc tấn công xâm nhập nào thành công.
Bà Sherrod DeGrippo, Phó chủ tịch phân tích mối đe dọa tại Palo Alto Networks, xác nhận đơn vị này đã phát hiện hơn 200 mã khai thác thử nghiệm (PoC) và đang tích cực điều tra, nhưng chưa thấy cuộc tấn công thực tế nào thành công.
Giải thích về lý do tin tặc gặp khó khăn, ông Dan Guido, CEO công ty Trail of Bits, cho biết việc xâm nhập các trang web có mức độ bảo mật cao đòi hỏi nhiều hơn là vài đoạn mã thử nghiệm. Các công cụ AI nguồn mở mà kẻ tấn công sử dụng hiện chưa đủ mạnh bằng công cụ của các chuyên gia bảo mật hàng đầu, nên thường vấp phải rào cản khi đối mặt với lỗ hổng phức tạp như PHP2Shell.
Điều người dùng và quản trị viên cần theo dõi
Dù tình hình hiện tại chưa ghi nhận thiệt hại quy mô lớn, ông Justin Timothy, chuyên gia tư vấn từ nhóm GRIT (GuidePoint), cảnh báo rằng việc kiểm tra cho kết quả “sạch” ở thời điểm này không đồng nghĩa với việc hệ thống hoàn toàn miễn nhiễm hoặc chưa bị xâm nhập từ trước. Các quản trị viên hệ thống được khuyến cáo tuyệt đối không chủ quan và phải tiếp tục chủ động đề phòng rủi ro.
Vấn đề còn bỏ ngỏ hiện nay là liệu kẻ xấu có thể sớm nâng cấp các công cụ AI để tối ưu hóa mã khai thác trong những ngày tới hay không, và liệu có hệ thống nào đã bị âm thầm thâm nhập trước thời điểm bản vá được phủ rộng toàn bộ hay chưa.
Nguồn tham khảo: Xem bài gốc
