PHP đóng vai trò là nền tảng bên dưới các hệ thống thiết kế web phổ biến. Do đó, điểm yếu này có nguy cơ ảnh hưởng đến hàng loạt trang web, từ cửa hàng trực tuyến, cơ quan tin tức cho đến các dịch vụ công của chính phủ.
' %2F%3E%3C%2Fsvg%3E)
Một trang web của chính phủ Pháp không thể truy cập được vào ngày 21/10 (Ảnh: Reuters).
Wiz, một trong những công ty bảo mật phát hiện ra các lỗ hổng này, ước tính PHP vận hành khoảng 70% số trang web trên thế giới. Các chuyên gia nhận định chúng nằm trong số “những lỗ hổng nghiêm trọng nhất từng được phát hiện ở PHP, và có lẽ là trong lịch sử ngành phần mềm”.
Cơ quan An ninh Quốc gia Mỹ (NSA) khuyến cáo các tổ chức cần tiến hành vá lỗi ngay lập tức hoặc ngắt kết nối trực tuyến đối với các hệ thống bị ảnh hưởng.
“Các lỗ hổng này thường mở ra con đường truy cập trực tiếp vào hệ thống tệp hoặc cơ sở dữ liệu của máy chủ. Kẻ tấn công có thể lợi dụng chúng để chiếm quyền kiểm soát máy chủ web mà không cần mật khẩu”, NSA cho biết trong một tuyên bố trên mạng xã hội X.
Volker Dusch, kỹ sư bảo mật tại PHP Foundation, nhận định đây là sự cố nghiêm trọng nhất mà PHP phải đối mặt trong hơn một thập kỷ qua. Ông cũng so sánh nó với lỗ hổng Heartbleed năm 2014 từng châm ngòi cho cuộc đua vá lỗi trên toàn thế giới.
Phát hiện này diễn ra trong bối cảnh các công bố bảo mật phần mềm tăng vọt nhờ sự hỗ trợ của các mô hình AI, khiến số lượng lỗ hổng được tìm thấy trong năm 2026 dự kiến tăng gấp đôi kỷ lục của năm ngoái.
Các lập trình viên PHP đã nhanh chóng phát hành bản sửa lỗi ngay trong ngày 21/10. PHP Foundation nhấn mạnh trong một bài đăng blog: “Nếu bạn đang vận hành PHP, điều bắt buộc là phải cập nhật ngay lập tức”.
Công ty bảo mật Calif đã phát hiện các lỗ hổng này vào tháng 8 bằng cách sử dụng mô hình GPT-5.6 Sol của OpenAI. Wiz cho biết họ cũng độc lập tìm ra các lỗ hổng vài tuần sau đó nhờ sự hỗ trợ của các mô hình AI bao gồm Gemini 4 Argon của Google và GPT-5.6 Sol.
“Các lỗ hổng này là một trong những lỗ hổng có tác động lớn nhất trong thời gian gần đây. Phát hiện trên đánh dấu một giai đoạn mới, nơi AI có thể tìm ra các lỗi bảo mật có tầm ảnh hưởng trên quy mô toàn Internet”, OpenAI chia sẻ trong một bài đăng trên X.
PHP Foundation đã phát hành một bản cập nhật bảo mật khẩn cấp vào ngày 21/10 (Ảnh: dpa).
Tại Pháp, nhiều trang web chính quyền địa phương, bao gồm cả trang của cảnh sát Paris, đã bị ngừng truy cập.
Tại Hà Lan, dịch vụ định danh kỹ thuật số quốc gia DigiD, trang web của Hạ viện và trang của Trung tâm An ninh mạng Quốc gia đã chủ động ngắt kết nối để hạn chế rủi ro. Tại Australia, Cục Tín hiệu Australia cho biết trang web của họ cũng nằm trong số các trang web chính phủ bị ảnh hưởng.
Wikimedia Foundation cảnh báo người dùng rằng họ có thể gặp phải tình trạng gián đoạn và cho biết đã chủ động ngắt kết nối nhiều dịch vụ hỗ trợ cho đến khi được vá lỗi an toàn.
Một số ứng dụng Pokémon, bao gồm Pokémon HOME, Pokémon Champions và Pokémon Sleep, cũng tạm ngừng hoạt động để bảo trì khẩn cấp. Trong khi đó, đơn vị vận hành tựa game Umamusume của Nhật Bản tuyên bố đang tiến hành bảo trì để khắc phục lỗ hổng PHP phát hiện trên máy chủ của mình.