Đội ứng phó khẩn cấp mạng châu Âu vừa khuyến cáo các website không thể vá hai lỗ hổng nghiêm trọng của PHP nên cân nhắc tạm ngừng hoạt động. Cả hai lỗ hổng đều cho phép kẻ tấn công chiếm quyền điều khiển máy chủ web mà không cần đăng nhập.
PHP là nền tảng phía sau một phần lớn của web, từ các blog WordPress cho đến những cửa hàng online Magento. Tuy nhiên, chi tiết về cả hai lỗ hổng này đã bị rò rỉ trực tuyến trước khi bản vá kịp phát hành.
Kẻ tấn công đã đi trước một bước
Theo báo cáo từ Huntress, thông tin về các lỗ hổng đã bị rò rỉ vào ngày 20/10, trước thời điểm dự kiến công bố chính thức. Nhóm bảo mật của PHP Foundation sau đó đã lên lịch phát hành bản vá vào ngày 21/10 lúc 14:00 UTC.
Công ty an ninh mạng watchTowr đã tái tạo thành công một trong hai lỗ hổng này, theo Huntress. Tuy vậy, Huntress cho biết họ chưa ghi nhận trường hợp khách hàng nào bị khai thác qua sự cố này.
Ngược lại, ông Dane Knecht, giám đốc công nghệ của Cloudflare, cho biết các vụ tấn công đã bắt đầu xuất hiện. Cloudflare đã triển khai các quy tắc tường lửa để chặn đường tấn công đã biết cho toàn bộ khách hàng, bao gồm cả những tài khoản miễn phí.
Chúng tôi đã phát hiện những đợt tấn công bắt đầu xuất hiện và liên tục cập nhật biện pháp phòng ngừa khi các hướng tấn công mới bị khai thác. Đây chỉ là giải pháp tạm thời.
Ông Knecht đã chia sẻ cảnh báo này trong một bài đăng trên X.
Theo thông tin từ Reuters, Đội ứng phó khẩn cấp máy tính của Liên minh châu Âu (CERT-EU) và cơ quan an ninh mạng Úc đều cảnh báo rằng lỗ hổng PHP này có thể ảnh hưởng đến tất cả các phiên bản PHP kể từ PHP 5 trở đi.
Huntress cho biết, một số nhà nghiên cứu dự đoán việc cập nhật chỉ dành cho những phiên bản PHP 8 còn đang được hỗ trợ. Điều này có nghĩa là các website sử dụng phiên bản cũ, không còn duy trì, có thể không nhận được bản vá.
Cảnh báo này xuất hiện chỉ vài tuần sau khi hơn 100 công ty lên tiếng cảnh báo về làn sóng tấn công mạng qua AI sẽ gia tăng trong thời gian tới.
Lỗ hổng PHP ảnh hưởng gì tới chủ website?
Theo dữ liệu từ W3Techs, PHP đang được sử dụng trên khoảng 69% các website có xác định ngôn ngữ lập trình phía máy chủ. Riêng WordPress đã chiếm khoảng 40% tổng số website trên toàn cầu.
CERT-EU cho biết, mức điểm nghiêm trọng 9.2 tương ứng với nguy cơ bị thực thi mã lệnh từ xa mà không cần xác thực. Nói đơn giản, ngoài kia có thể có một ai đó có thể chạy mã độc trên máy chủ của bạn mà không hề cần tài khoản truy cập.
Nhà cung cấp hosting GoDaddy cảnh báo, hacker có thể đánh cắp dữ liệu, làm thay đổi giao diện website, hoặc thậm chí chiếm luôn quyền kiểm soát toàn bộ hệ thống. Các dữ liệu bị đánh cắp thực sự có giá trị lớn, như những vụ tấn công vào ngân hàng Hàn Quốc thời gian qua đã cho thấy.
Plugin bảo mật Wordfence chia sẻ rằng mọi website WordPress đều chạy trên máy chủ PHP. Tuy nhiên, việc cập nhật tự động của WordPress sẽ không xử lý được các lỗ hổng này của PHP. Vì vậy, chủ website cần xác định ai đang chịu trách nhiệm quản lý PHP cho trang web của mình.
Những vụ tấn công vào các hạ tầng quen thuộc vẫn tiếp tục gia tăng, giống như sự cố hack hệ thống tủ lạnh tại siêu thị Pháp mới xảy ra hồi tháng 10/2023. Hiện tại, các lỗ hổng PHP lại khiến mức độ nguy hiểm lan đến tận lớp phần mềm chạy ngầm của phần lớn web hiện nay, nơi chỉ một bản cập nhật bị bỏ lỡ cũng có thể trở thành cánh cửa cho tin tặc đột nhập.
