Quỹ PHP thừa nhận sự thiếu quyết đoán và thiếu nguồn lực đã làm chậm việc khắc phục một lỗ hổng bảo mật nghiêm trọng được phát hiện lần đầu vào năm 2024, gọi phản ứng trì trệ này là “thất bại mang tính cơ cấu”.
Các cơ quan chính phủ và tổ chức trên toàn thế giới đã đưa website xuống ngoại tuyến hôm thứ Tư như một biện pháp phòng ngừa, trong khi PHP phát hành các bản vá khẩn cấp cho hai lỗ hổng nghiêm trọng có liên quan. Những lỗ hổng này có thể cho phép kẻ tấn công chưa được xác thực thực thi mã trên các máy chủ bị ảnh hưởng mà không cần đăng nhập.
PHP là ngôn ngữ lập trình được sử dụng rộng rãi để vận hành website và ứng dụng web, bao gồm các hệ thống quản trị nội dung.
Trong một bài đăng blog sau khi phát hành bản vá, quỹ cho biết các nhà phát triển lần đầu phát hiện dấu hiệu của lỗ hổng vào năm 2024, nhưng gặp khó khăn trong việc tìm ra giải pháp mà không làm gián đoạn hệ sinh thái phần mềm lớn được xây dựng bằng PHP.
“Kết hợp với việc chưa xác định được cách thực thi mã từ xa và đội ngũ nhỏ các nhà phát triển cốt lõi, vốn có kiến thức chuyên sâu cần thiết về bộ máy nhưng đang phải đảm nhiệm nhiều trách nhiệm, quy trình ra quyết định này khiến công việc khắc phục bị đình trệ rồi khởi động lại nhiều lần trong nhiều tháng,” quỹ cho biết.
“Chúng tôi sẽ không giả vờ phủ nhận điều đó: sự chậm trễ là một thất bại mang tính cơ cấu, do cả quy trình ra quyết định của đội ngũ bảo mật và tình trạng thiếu nguồn lực của đội ngũ này gây ra.”
Quỹ lại được chỉ ra lỗ hổng vào ngày 11 tháng 8, sau khi công ty bảo mật Calif và OpenAI độc lập báo cáo cùng một vấn đề nền tảng, trong đó Calif chứng minh khả năng thực thi mã từ xa không cần điều kiện, khiến vấn đề này trở thành ưu tiên bảo mật hàng đầu.
Website ngừng hoạt động giữa lúc lo ngại về bảo mật PHP
Sự gián đoạn lan rộng khắp thế giới khi các nhà phát triển ngắt kết nối website để chuẩn bị cài đặt các bản sửa lỗi khẩn cấp.
Hà Lan đã đóng dịch vụ nhận dạng kỹ thuật số, và Trung tâm An ninh mạng Quốc gia của nước này cũng đưa website của mình xuống ngoại tuyến.
Nhà cung cấp CNTT nhà nước Phần Lan Valtori đã ngắt kết nối các dịch vụ web công cộng của chính phủ, trong khi Bộ Nội vụ Pháp tạm thời đưa các website của tỉnh xuống ngoại tuyến. Nhà cung cấp CNTT liên bang Đức ITZBund cũng vô hiệu hóa một số website, theo Reuters.
Tại Australia, Cục Tín hiệu Australia thừa nhận website an ninh mạng cyber.gov.au của cơ quan này nằm trong số các website chính phủ bị ảnh hưởng bởi vấn đề PHP.
Thủ tướng Nhật Bản Sanae Takaichi đã đăng trên X để kêu gọi các nhà vận hành website chuẩn bị áp dụng bản vá sớm nhất có thể. Trong một bài đăng, bà nói rằng việc tạm thời đình chỉ các chức năng website có thể giảm rủi ro nếu bản vá chưa thể được áp dụng ngay lập tức.
Quỹ Wikimedia, đơn vị vận hành Wikipedia, cho biết họ đã đưa một số dịch vụ hỗ trợ xuống ngoại tuyến như một biện pháp phòng ngừa, bao gồm Toolforge và Cloud VPS, nơi lưu trữ các công cụ và dự án được các nhà phát triển tình nguyện sử dụng, khiến một số phần của Wikipedia ngừng hoạt động hôm thứ Tư.
Công ty bảo mật blockchain SlowMist cho biết dịch vụ MistEye đã khảo sát việc sử dụng PHP trong toàn ngành crypto, đồng thời kêu gọi các sàn giao dịch, nền tảng DeFi và nhà cung cấp ví rà soát mức độ phơi nhiễm và nâng cấp hệ thống. Dịch vụ này xác định 793 tên miền có dấu vết PHP trực tiếp trong số 1.488 tên miền được đánh giá.
Intersect, tổ chức thành viên hỗ trợ hoạt động phát triển và quản trị blockchain Cardano, cho biết đã tạm thời đưa Khu vực Thành viên xuống ngoại tuyến trong khi đánh giá nguy cơ phơi nhiễm. Trang này vẫn ngoại tuyến tại thời điểm viết bài.
Liên quan: Các gã khổng lồ công nghệ khẩn trương chặn 8 chứng chỉ eMudhra có thể cho phép tạo website giả
Giám đốc an ninh của Coinbase, Jeff Lunglhofer, cho biết công ty không tìm thấy bằng chứng nào về các phiên bản PHP bị phơi nhiễm.
“Bất cứ khi nào nghe tin về những lỗ hổng như thế này, chúng tôi đều tự động tiến hành rà soát toàn diện để bảo đảm mọi thứ an toàn nhất có thể. Chúng tôi cũng đang làm việc với các nhà cung cấp bên thứ ba để có thêm sự bảo đảm.”
Công ty cơ sở hạ tầng tài sản số BitGo cũng cho biết nền tảng của họ không bị ảnh hưởng bởi lỗ hổng PHP.
Trong khi đó, đồng sáng lập Binance Changpeng Zhao cảnh báo người dùng internet hôm thứ Tư hãy “đặc biệt cẩn trọng” khi truy cập bất kỳ website nào trong vài ngày tới, vì một số quản trị viên web có thể chưa cập nhật các bản vá bảo mật.
OpenAI đã phát hành một kỹ năng Codex để giúp các nhà vận hành website kiểm tra những phiên bản PHP có khả năng dễ bị tấn công và xác định các bản cập nhật phù hợp; công cụ này có thể được truy cập qua GitHub.
Đội ngũ bảo mật PHP cho biết chưa xác định được bất kỳ hoạt động khai thác nào tại thời điểm công bố công khai.