Ngày 21/10, những người phát triển PHP, ngôn ngữ lập trình dùng để xây dựng website, hiện vận hành khoảng 70% trang web trên toàn cầu, đã công bố một lỗ hổng bảo mật nghiêm trọng cho phép kẻ tấn công chiếm quyền kiểm soát bất kỳ máy chủ nào chạy phần mềm này.
Lỗ hổng được đặt tên PHP2Shell, thực chất là một nhóm vấn đề liên quan đến cách PHP quản lý bộ nhớ máy tính. Nó có thể bị khai thác theo nhiều cách khác nhau, có trường hợp chỉ mất vài giây, để chạy mã trái phép trên các máy chủ chưa được vá lỗi.
Các lỗ hổng đều được chấm 9,2 điểm theo thang CVSS v4.0, thang đo mức độ nghiêm trọng của lỗ hổng, tối đa là 10 điểm.
Nếu bị khai thác, kẻ tấn công có thể thực thi mã từ xa trên máy chủ web chạy PHP mà không cần đăng nhập. Lỗ hổng do hãng bảo mật Wiz cùng một số nhóm nghiên cứu phát hiện, với sự hỗ trợ của AI, đã được thông báo cho nhóm phát triển PHP trước khi công bố.
Các phiên bản PHP đã được vá gồm 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Với các phiên bản 7.4, 8.0 và 8.1 (đã hết hỗ trợ chính thức), nhóm PHP cung cấp bản sửa ở dạng mã nguồn. Nhiều bản phân phối Linux như AlmaLinux, Red Hat, Debian, Ubuntu và các nhà cung cấp dịch vụ hỗ trợ dài hạn đã phát hành gói cập nhật.
Không phải website dùng PHP nào cũng bị khai thác
PHP hiện được dùng rộng rãi. Tuy nhiên, nguy cơ ảnh hưởng với từng hệ thống phụ thuộc vào nhiều yếu tố như phiên bản PHP đang sử dụng hay mô hình triển khai website.
' %2F%3E%3C%2Fsvg%3E)
Nhóm phát triển PHP đã phát hành bản vá bảo mật (Ảnh: ACS).
Việc khai thác lỗ hổng cũng đòi hỏi phải gửi những yêu cầu được chế tạo đặc biệt và kiểm soát chính xác trạng thái bộ nhớ. Ngoài ra, các hệ thống có tường lửa ứng dụng web (WAF) có khả năng chặn lọc các yêu cầu bất thường nếu được cấu hình tốt cũng giảm đáng kể khả năng bị tấn công.
Vì vậy, việc nhận định website PHP nào đang gặp nguy hiểm cần được đánh giá cho từng hệ thống cụ thể.
Sau khi thông tin được công bố, nhiều nhà cung cấp dịch vụ lưu trữ web (hosting) và hạ tầng đám mây đã chủ động cập nhật bản vá cho máy chủ và bổ sung quy tắc chặn trên hệ thống WAF để giảm thiểu các hướng tấn công đã biết.
Khách hàng thuê dịch vụ hosting nên liên hệ nhà cung cấp để xác nhận phiên bản PHP đang chạy và tình trạng bản vá.
Khuyến nghị từ chuyên gia
Theo khuyến cáo từ NCA, các đơn vị tự vận hành máy chủ cần chủ động rà soát toàn bộ hệ thống, lập danh sách các máy chủ, website, ứng dụng và môi trường có sử dụng PHP, kèm phiên bản đang chạy. Nhiều sự cố xảy ra ở những hệ thống bị lãng quên.
' %2F%3E%3C%2Fsvg%3E)
Chuyên gia khuyến cáo các đơn vị tự vận hành máy chủ cần chủ động rà soát toàn bộ hệ thống (Ảnh: CNN).
Bên cạnh đó là cập nhật bản vá, nâng cấp lên một trong các phiên bản đã vá nêu trên. Lưu ý dự án PHP không phát hành bản vá cho PHP 8.1 trở về trước vì các nhánh này đã hết vòng đời hỗ trợ.
Ngoài ra, các đơn vị cũng cần giảm thiểu hướng tấn công qua WAF và cấu hình hệ thống, đồng thời tăng cường giám sát nhật ký truy cập.
Hai lỗ hổng nằm ở phía máy chủ chạy website, không nằm trên thiết bị hay trình duyệt của người dùng. Việc truy cập, tìm kiếm, mua sắm hay giao dịch trực tuyến thông thường không bị ảnh hưởng trực tiếp, người dùng không cần ngừng sử dụng dịch vụ nào.
Theo các chuyên gia, việc phát hiện và công bố lỗ hổng là một phần bình thường của hệ sinh thái công nghệ. Điều quan trọng là bản vá đã sẵn sàng, các nhà cung cấp dịch vụ đã bắt đầu ứng phó, các tổ chức có đủ thông tin để hành động. Ưu tiên lúc này là rà soát có hệ thống, vá lỗi đúng thứ tự ưu tiên và giám sát liên tục, thay vì lo lắng quá mức.