Ngày tồi tệ của Internet

Ngày 21/10 được xem là "ngày tồi tệ của an ninh mạng và Internet" khi AI liên tiếp phát hiện lỗ hổng bảo mật trong nhiều hệ thống trên toàn cầu.

Theo Reuters , "ngày tồi tệ" bắt đầu khi nhiều cơ quan chính phủ trên thế giới chủ động đóng cửa website, sau khi xuất hiện thông tin AI đã tìm ra hai lỗ hổng bảo mật nghiêm trọng liên quan đến PHP - ngôn ngữ lập trình ước tính sử dụng trong 70% website toàn cầu. Cả hai được đánh giá mức độ nghiêm trọng 9,2/10 điểm.

Cụ thể, lỗ hổng bảo mật mang mã CVE-2026-109618 và CVE-2026-109619 (gọi chung là PHP2Shell) giúp hacker thực thi mã từ xa, chạy lệnh độc hại trên máy chủ bị ảnh hưởng. Tùy thuộc cấu hình và quyền hạn của máy chủ, một cuộc tấn công thành công có thể làm lộ thông tin nhạy cảm hoặc làm tổn hại đến hệ thống.

OpenAI tuyên bố mô hình GPT-5.6 Sol đã giúp nhận diện sự cố. Google cũng khẳng định Gemini 4 Argon "có đóng góp vô cùng quan trọng trong việc tìm ra lỗ hổng, phát triển khai thác, phát hiện tấn công và xác thực bản vá".

Thực tế, một trong hai lỗ hổng ban đầu được công ty Calif Research sử dụng GPT-5.6 Sol để tìm ra hồi tháng 7 và thông báo cho các đơn vị liên quan. Startup bảo mật Mỹ này có nhiều thành viên người Việt Nam và kỹ sư Dương Ngọc Thái làm CEO.

Trên blog, công ty cho biết ban đầu, họ tìm ra lỗi OOM-fatal do hết bộ nhớ "tạo điểm gián đoạn", cho phép ghép nối để tạo lỗ hổng RCE nhắm vào WordPress. Khi thấy lỗi đầu tiên chưa tối ưu, nhóm tiếp tục tìm kiếm và tìm ra thêm hai lỗi nữa, dẫn đến các lỗ hổng khai thác đáng tin cậy chống lại module mod_php và PHP-FPM (chương trình có chức năng phiên dịch PHP khi chạy trang web cho web server).

Sau đó, công ty an ninh mạng Wiz cũng phát hiện và báo cáo 2 lỗi tương tự. "Chúng nằm trong những lỗ hổng nghiêm trọng nhất từng được phát hiện trong PHP, có thể nói là trong lịch sử phần mềm", đại diện Wiz nói với AP .

Trên X, một số chuyên gia đánh giá hai lỗ hổng "có tác động lớn nhất trong thời gian gần đây". Số khác nhận xét phát hiện "đánh dấu giai đoạn mới, nơi AI có thể tìm ra lỗi bảo mật có tác động trên quy mô toàn Internet".

Nhóm Patch the Planet - sáng kiến tập hợp những người bảo trì phần mềm, nhà nghiên cứu bảo mật và nhà cung cấp cơ sở hạ tầng của OpenAI cho mục đích an toàn AI - cho biết đã kết hợp với PHP khắc phục sự cố sau đó. Bản vá được tung ra cùng ngày 21/10.

Trong thông báo chính thức, PHP khuyến cáo người dùng "cập nhật bản vá lập tức", nhất là hệ thống chạy phiên bản cũ. Quản trị viên cũng nên kiểm tra hướng dẫn chính thức của PHP để xác định gói phù hợp cho cài đặt của mình.

Dane Knecht, Giám đốc công nghệ của Cloudflare, cho biết đã triển khai bản vá lỗi cho tường lửa của mình. Cơ quan An ninh Quốc gia Mỹ (NSA) cũng khuyến cáo nên tạm ngừng hoạt động hệ thống bị ảnh hưởng nếu quản trị viên không thể vá lỗi kịp thời.

Một số dấu hiệu cho thấy lỗ hổng đã bị khai thác thực tế. "Đúng như dự đoán, chúng tôi ghi nhận lỗ hổng PHP mới nhất đã bị lợi dụng", nhà nghiên cứu Jake Knott của công ty an ninh mạng WatchTowr nói với CNet . "Chưa ai thành công, nhưng điều đó có thể sẽ không kéo dài lâu".

Một số cơ quan chính phủ phải đóng website để ngăn chặn sự cố. Tại Pháp, Bộ Nội vụ cho biết các trang web của chính quyền địa phương, trong đó có Sở cảnh sát Paris, chặn truy cập theo yêu cầu của Cơ quan An ninh mạng quốc gia Pháp.

Tại Hà Lan, dịch vụ định danh kỹ thuật số quốc gia DigiD, website Hạ viện và website trung tâm an ninh mạng quốc gia tạm ngừng hoạt động để phòng ngừa. Tại Australia, Cục Tín hiệu nước này cho biết website của họ nằm trong số bị ảnh hưởng, theo ABC .

Ngày 22/10, CEO Cloudflare Matthew Prince viết trên X: "Một số thống kê về PHP2Shell: Trong 10 tiếng trước khi lỗ hổng được công bố công khai, trên toàn mạng Cloudflare ghi nhận hàng nghìn nỗ lực khai thác. Con số tăng vọt lên hàng chục nghìn trong 45 phút sau thông báo, hàng trăm nghìn trong vòng 2 tiếng, và hiện đã lên đến hàng triệu".

PHP hiện là ngôn ngữ lập trình phía máy chủ phổ biến nhất thế giới. Theo thống kê của BuiltWith , khoảng 24 triệu website đang hoạt động sử dụng PHP trên toàn cầu, riêng Việt Nam có hơn 143.000 website.

Lỗ hổng PHP không phải là vấn đề đau đầu duy nhất mà các chuyên gia an ninh mạng đối mặt ngày 21/10, theo Interesting Engineering .

Node.js - môi trường chạy java script mã nguồn mở - thông báo vá bốn lỗ hổng nghiêm trọng khiến hacker có thể thực thi mã từ xa. Trong đó, một lỗ hổng cấp quyền quá mức cho hệ thống tệp, cùng hai lỗ hổng cho phép bỏ qua xác thực TLS, giúp kẻ tấn công vượt qua các bước kiểm tra nhằm xác minh danh tính của máy chủ.

LiteLLM, máy chủ proxy mã nguồn mở phổ biến giúp định tuyến yêu cầu đến nhiều nhà cung cấp mô hình ngôn ngữ lớn (LLM), cũng bị tin tặc xâm nhập bằng cách chèn mã độc. Trên X, công ty cho biết mã độc đã được công bố trên PyPI (Python Package Index), Docker Hub và GHCR (GitHub Container Registry), gồm một phần mềm đánh cắp thông tin nhắm vào dữ liệu đăng nhập đám mây, mật khẩu và tài khoản dịch vụ AI. Ngoài ra, còn có một phần mềm độc hại truy cập từ xa cho phép hacker thực thi lệnh trên hệ thống bị xâm nhập. LiteLLM cho biết đã gỡ bỏ nội dung độc hại, ra bản cập nhật và khuyến cáo bất kỳ ai đã cài đặt nên làm theo hướng dẫn khắc phục sự cố.

eMudhra, cơ quan cấp chứng chỉ số của Ấn Độ, cùng ngày thông báo hệ thống bị xâm phạm khóa riêng, có khả năng cho phép kẻ tấn công cấp chứng chỉ giả mạo và mạo danh website hợp pháp. Các chuyên gia bảo mật đánh giá vấn đề lớn hơn cả Heartbleed - lỗ hổng bảo mật nghiêm trọng trong thư viện phần mềm mã hóa OpenSSL từng được phát hiện trước đây.

Theo AFP , hàng loạt sự cố an ninh mạng nghiêm trọng đang xảy ra với tần suất ngày càng tăng. Trước đó một ngày, dịch vụ cơ sở dữ liệu đám mây TiDB Cloud thông báo bị tấn công khi hacker khai thác bốn lỗ hổng của Plex Media Server, gọi chung là Plex2Shell, để xâm nhập hệ thống. Tuần trước, công ty an ninh mạng BeyondTrust cảnh báo khách hàng về lỗi bảo mật nghiêm trọng trong sản phẩm chủ lực Remote Support, vốn đã bị khai thác từ tháng 8.

TechCrunch đánh giá, dù các sự cố không liên quan nhau, việc chúng xuất hiện liên tiếp làm nổi bật thách thức mà đội ngũ an ninh mạng tại các tổ chức, doanh nghiệp phải đối mặt, nhất là khi AI giúp kẻ xấu tìm lỗ hổng và khai thác nhanh hơn.

Giới chuyên gia cũng cho rằng tổ chức, doanh nghiệp dường như đang gặp khó khăn trong việc bắt kịp tốc độ cập nhật bản vá cần thiết để phòng chống các cuộc tấn công mạng do AI điều khiển. "Giờ đây, người dùng sẽ có trải nghiệm tương tự smartphone hay ứng dụng: mọi thứ được cập nhật thường xuyên và nhanh chóng", GS Ethan Mollick tại Trường Wharton thuộc Đại học Pennsylvania viết trên X.

Trước đó, các chuyên gia đánh giá an ninh mạng là "mặt trận" đầu tiên AI hướng tới. Giữa tháng này, tỷ phú Bill Gates cảnh báo tội phạm mạng có thể dùng mô hình AI tiên tiến để phá vỡ hệ thống tài chính và tống tiền doanh nghiệp.

CEO Microsoft Satya Nadella cũng kêu gọi cần phát triển AI tiên tiến đi kèm cơ chế giám sát độc lập và khả năng cách ly, đồng thời đề xuất nút "phanh khẩn cấp", cho phép người có thẩm quyền can thiệp, tạm dừng hoặc vô hiệu hóa mô hình ngay khi hệ thống đang vận hành.

Anthropic cũng đánh giá mô hình AI sẽ " sớm tự nhân bản trong vài tháng tới" và có thể gây thiệt hại nghiêm trọng, đặc biệt về an ninh mạng.