Cơ quan EU yêu cầu các trang web cân nhắc ngừng hoạt động vì lỗi PHP

Đội phản ứng khẩn cấp mạng của Liên minh châu Âu khuyên các trang web không thể áp dụng bản vá cho hai lỗi PHP nghiêm trọng nên cân nhắc đưa trang web của họ ngoại tuyến. Khai thác một trong hai lỗ hổng có thể cho phép kẻ tấn công chiếm quyền kiểm soát máy chủ web mà không cần xác thực.

PHP nền tảng cho một phần lớn internet, hỗ trợ các nền tảng từ blog WordPress đến cửa hàng trực tuyến Magento. Nhưng chi tiết kỹ thuật của cả hai lỗ hổng đã được công bố trước khi các bản vá được phát hành.

Kẻ tấn công đã có lợi thế

Theo Huntress, thông tin rò rỉ xuất hiện vào ngày 20 tháng 10, trước thông báo dự kiến. Nhóm bảo mật của PHP Foundation sau đó đã đặt thời gian phát hành vào ngày 21 tháng 10 lúc 14:00 UTC.

Nhóm bảo mật PHP thông báo trước: Bản phát hành bảo mật sắp tới vào Thứ Tư, ngày 21 tháng 10 năm 2026, 14:00 UTC, hai lỗ hổng nghiêm trọng, cả hai đều được xếp hạng CVSSv4 9.2.

Người dùng PHP được khuyến khích chuẩn bị cập nhật. Phát hành sớm hơn nếu thông tin chi tiết trở nên công khai hoặc có bằng chứng khai thác tích cực.

— The PHP Foundation (@ThePHPF) October 20, 2026

Công ty bảo mật watchTowr đã tái tạo được một trong hai lỗ hổng, Huntress báo cáo. Huntress lưu ý rằng họ chưa quan sát thấy bất kỳ khai thác nào trong hệ thống khách hàng của mình.

Tuy nhiên, giám đốc công nghệ của Cloudflare, Dane Knecht, tuyên bố rằng các cuộc tấn công đã được tiến hành. Công ty đã triển khai các quy tắc tường lửa bao gồm các vectơ tấn công đã xác định cho tất cả khách hàng, bao gồm cả những người dùng gói miễn phí.

Chúng tôi đang thấy các cuộc tấn công ban đầu xuất hiện và đang cập nhật các biện pháp giảm thiểu khi các vectơ mới xuất hiện. Đây chỉ là biện pháp tạm thời.

Knecht đã đăng cảnh báo trên X.

Cả Đội ứng phó khẩn cấp máy tính của Liên minh châu Âu (CERT-EU) và cơ quan an ninh mạng Australia đã cảnh báo rằng các lỗi PHP có thể ảnh hưởng đến tất cả các phiên bản bắt đầu từ PHP 5, theo Reuters đưa tin.

Huntress lưu ý rằng một số nhà nghiên cứu dự đoán chỉ có bản vá cho các phiên bản PHP 8 hiện được hỗ trợ. Tình huống này có thể khiến các trang web chạy phiên bản PHP cũ, không được hỗ trợ không có biện pháp khắc phục.

Cảnh báo này được đưa ra vài tuần sau khi hơn 100 công ty cảnh báo rằng các cuộc tấn công mạng do AI điều khiển có thể gia tăng trong vòng vài tháng.

Lỗ hổng PHP có ý nghĩa gì đối với chủ sở hữu trang web

Theo W3Techs, PHP được sử dụng trên khoảng 69% trang web nơi ngôn ngữ phía máy chủ có thể xác định được. Riêng WordPress chiếm khoảng 40% tổng số trang web.

CERT-EU tuyên bố rằng xếp hạng mức độ nghiêm trọng 9.2 cho thấy khả năng thực thi mã từ xa không cần xác thực. Nói một cách đơn giản, một tác nhân bên ngoài có thể thực thi mã độc trên máy chủ mà không cần bất kỳ thông tin đăng nhập nào.

Nhà cung cấp dịch vụ lưu trữ web GoDaddy cảnh báo rằng kẻ tấn công có thể đánh cắp dữ liệu, làm biến dạng trang web hoặc hoàn toàn chiếm quyền điều khiển hệ thống. Giá trị của các bản ghi bị đánh cắp thể hiện rõ từ các vụ vi phạm ngân hàng Hàn Quốc.

Wordfence, một plugin bảo mật, chỉ ra rằng mọi trang WordPress đều chạy trên máy chủ PHP. Tuy nhiên, cơ chế cập nhật tự động của WordPress không thể giải quyết các lỗ hổng PHP này. Do đó, chủ sở hữu trang web phải xác định ai chịu trách nhiệm quản lý PHP của họ.

Các sự cố nhắm vào cơ sở hạ tầng hàng ngày tiếp tục gia tăng, điển hình là vụ hack tủ lạnh siêu thị Pháp vào tháng 10. Các lỗ hổng PHP này chuyển mối đe dọa sang lớp phần mềm nền tảng cho phần lớn web, nơi một bản cập nhật máy chủ bị bỏ lỡ có thể tạo ra điểm xâm nhập.