Dương Ngọc Thái, Google, OpenAI, Amazon xử lý lỗ hổng PHP2Shell gây báo động toàn cầu
Thế giới công nghệ đang khẩn trương triển khai các biện pháp khắc phục sau khi phát hiện hai lỗ hổng bảo mật nghiêm trọng trong PHP - ngôn ngữ lập trình được sử dụng để vận hành phần lớn website trên Internet.
PHP là ngôn ngữ lập trình mã nguồn mở, miễn phí, được sử dụng rộng rãi để xây dựng và vận hành website, ứng dụng web. Khi người dùng mở một trang web, máy chủ chạy PHP sẽ xử lý và tập hợp nội dung, sau đó gửi đến trình duyệt của người dùng.
PHP cũng là một trong những công nghệ được sử dụng rộng rãi nhất trên Internet. Theo W3Techs - công ty theo dõi công nghệ web, PHP vận hành khoảng 75% số website có thể xác định được ngôn ngữ lập trình sử dụng.
PHP là nền tảng phía sau WordPress, hệ thống quản lý nội dung đang được sử dụng trên khoảng 43% tổng số website toàn cầu, từ blog cá nhân, trang web doanh nghiệp nhỏ đến cổng thông tin chính phủ, cửa hàng trực tuyến và trang tin tức.
“PHP hiện diện ở khắp nơi. Nó âm thầm vận hành các website sử dụng WordPress, Drupal, Joomla và Magento, nền tảng lưu trữ web dùng chung, bảng điều khiển quản trị và rất nhiều phần mềm thậm chí không công bố rằng sử dụng PHP ở bên trong”, công ty an ninh mạng Huntress viết trong một bài đăng trên blog.
Việc phát hiện hai lỗ hổng bảo mật nghiêm trọng trong PHP đã khiến nhiều chính phủ trên thế giới phát đi cảnh báo khẩn cấp. Một số đơn vị vận hành website của chính phủ và doanh nghiệp đã chủ động đưa website ngoại tuyến để phòng ngừa hacker.
Các thông tin về những nỗ lực tấn công mạng cũng bắt đầu xuất hiện hôm 21/10.
Theo các nhà nghiên cứu an ninh mạng, hai lỗ hổng được gọi chung là PHP2Shell có thể cho phép hacker thực thi mã độc từ xa trên các máy chủ bị ảnh hưởng, qua đó có nguy cơ làm lộ dữ liệu nhạy cảm. Không phải mọi website sử dụng PHP đều có lỗ hổng, nhưng việc công nghệ này được sử dụng rộng rãi khiến giới chuyên gia lo ngại các cuộc tấn công có thể lan rộng trên quy mô lớn.
Hai lỗ hổng bắt nguồn từ lỗi trong cách PHP xử lý bộ nhớ và trạng thái nội bộ khi gặp sự cố trong quá trình xử lý yêu cầu từ website. Hacker có thể khai thác lỗi này bằng nhiều cách, trong đó một số phương thức chỉ mất vài giây, để chạy phần mềm trái phép trên các máy chủ sử dụng phiên bản PHP bị ảnh hưởng và chưa được vá.
Calif của Dương Ngọc Thái góp phần phát hiện PHP2Shell
Theo Volker Dusch - kỹ sư bảo mật tại tổ chức phi lợi nhuận quản lý dự án PHP, đây là sự cố bảo mật nghiêm trọng nhất mà PHP gặp phải trong hơn một thập niên. Ông so sánh sự việc với Heartbleed, lỗ hổng có phạm vi ảnh hưởng rộng tương tự, từng buộc cộng đồng Internet trên toàn cầu chạy đua bảo vệ hàng trăm nghìn máy chủ cách đây hơn 10 năm.
Heartbleed là lỗ hổng bảo mật nghiêm trọng được công bố vào tháng 4/2014, ảnh hưởng đến OpenSSL - phần mềm mã nguồn mở được sử dụng rộng rãi để mã hóa dữ liệu truyền qua Internet, chẳng hạn khi người dùng đăng nhập website hoặc thanh toán trực tuyến.
Khi các bản vá bảo mật được phát hành, cuộc chạy đua giữa bên phòng thủ và hacker chính thức bắt đầu. Các đơn vị bảo vệ hệ thống phải kiểm tra và cài đặt bản vá, trong khi hacker nghiên cứu chính những bản cập nhật này để tìm ra điểm yếu mới. Hacker nghiên cứu những thay đổi trong phần mềm, xác định các khu vực có thể bị khai thác rồi tìm cách tấn công vào đó.
Các chuyên gia bảo mật cho rằng những công cụ AI hiện nay có thể thực hiện công việc này nhanh hơn con người rất nhiều, khiến quá trình cập nhật phần mềm trở nên rủi ro hơn.
“Một người nào đó trên X có thể lấy các bản vá, dùng AI phân tích rồi đăng lên một đoạn mã khai thác lỗ hổng. Khi đó, mọi thứ sẽ trở nên hỗn loạn”, theo ông Dương Ngọc Thái, Giám đốc điều hành công ty an ninh mạng Calif (Mỹ), đơn vị đầu tiên phát hiện vấn đề.
Ryan Austin, nhà nghiên cứu tại Calif, phát hiện lỗi bảo mật với sự hỗ trợ của GPT-5.6 Sol trong quá trình kiểm tra mã nguồn PHP hồi tháng 8.
OpenAI tài trợ cho cuộc kiểm tra này và một số đợt đánh giá bảo mật khác. Đây là một phần trong nỗ lực của các công ty AI nhằm giúp những dự án phần mềm mã nguồn mở xử lý các lỗ hổng mà những hệ thống AI đang phát hiện ngày càng nhiều.
Nhóm lỗi này đã ẩn trong mã nguồn PHP suốt nhiều năm. Một nhà nghiên cứu bảo mật đã chỉ ra đây là vấn đề cần quan tâm từ nhiều thập kỉ trước, nhưng lỗ hổng này được cho là quá khó khai thác và phần lớn đã bị lãng quên, Dương Ngọc Thái cho biết.
AI đã tìm ra cách khai thác điểm yếu đó.
Ryan Austin xác định được cách kiểm soát đoạn mã đang chạy trong bộ nhớ máy tính chỉ bằng vài chục yêu cầu gửi đến máy chủ sử dụng PHP. Trên những hệ thống nhỏ, cuộc tấn công chỉ mất vài giây. Với hệ thống phức tạp hơn, quá trình này có thể kéo dài hàng giờ.
Ngày 11/8, Dương Ngọc Thái gọi điện cho Volker Dusch, người phụ trách dự án PHP.
“Có một vấn đề nghiêm trọng ở đây”, Dương Ngọc Thái nói.
“Tôi đã có một khoảnh khắc nghĩ rằng: Ôi trời, giờ chúng ta phải làm gì đây? Tôi phải thông báo chuyện này như thế nào?”, Volker Dusch kể lại. “Sau đó, bạn bình tĩnh lại, để cơn adrenaline qua đi rồi bắt tay vào sửa lỗi”, ông nói.
Chẳng bao lâu sau, một nhóm làm việc không chính thức gồm các nhà nghiên cứu an ninh mạng và kỹ sư phần mềm được thành lập. Họ phối hợp với các đơn vị phân phối phần mềm và công ty bảo mật để tìm cách vá PHP2Shell, đồng thời ngăn chặn việc khai thác lỗ hổng.
Các nhà nghiên cứu thuộc đội an ninh mạng Wiz của Google sau đó cũng liên hệ, cung cấp những phương thức khai thác mới mà họ phát hiện độc lập với Calif. Nhóm nghiên cứu của OpenAI cũng tìm ra các vấn đề tương tự.
AI đang giúp các nhà nghiên cứu có mục đích bảo vệ hệ thống phát hiện hàng nghìn lỗi phần mềm. Tuy nhiên, làn sóng phát hiện này cũng tạo ra áp lực lớn với những dự án như PHP, vốn phải xử lý hàng loạt vấn đề cần khắc phục.
Trong số đó, PHP2Shell được xếp vào diện ưu tiên. Khả năng khai thác lỗ hổng bằng AI khiến các chuyên gia lo ngại tội phạm mạng có thể tấn công hàng loạt website trước khi các đơn vị quản lý kịp cài đặt bản vá.
Giữ bí mật lỗ hổng
Ami Luttwak, đồng sáng lập Wiz, cho rằng PHP2Shell là “lỗ hổng nghiêm trọng nhất được AI phát hiện từ trước đến nay” và có thể quá phức tạp để được phát hiện nếu không có AI hỗ trợ.
Trong thời gian tìm cách khắc phục, Dương Ngọc Thái và các nhà nghiên cứu khác giữ kín thông tin về lỗ hổng. Họ lo ngại hacker sử dụng AI có thể tìm ra và khai thác điểm yếu trước khi quá trình sửa lỗi hoàn tất.
Quy mô công việc khắc phục rất lớn. Gần 200 file phần mềm cần được chỉnh sửa, còn các nhà phát triển đã viết hơn 10.000 dòng mã trong quá trình xử lý.
Cuối cùng, ngày phát hành bản vá được ấn định là 22/10. Sau đó, điều khó tránh khỏi đã xảy ra: Thông tin về bản vá bị rò rỉ vào hôm 20/10, khi một bài đăng xuất hiện trên diễn đàn Hacker News, chỉ chưa đầy hai ngày trước thời điểm phát hành dự kiến.
Nhóm của Volker Dusch quyết định đẩy nhanh việc phát hành bản vá. Hôm 20/10, họ cảnh báo cộng đồng toàn cầu chuẩn bị đón nhận một bản cập nhật bảo mật quan trọng vào ngày 21/10.
Chiều 21/10, nhóm phát triển PHP phát hành bản cập nhật 8.5.12, 8.4.27, 8.3.36 và 8.2.35 để khắc phục hai lỗ hổng nghiêm trọng này.
Volker Dusch cho rằng đây là “sự cân bằng hợp lý giữa việc thông báo cho những người có trách nhiệm bảo vệ hệ thống và không cho kẻ tấn công quá nhiều thời gian để phát triển công cụ khai thác lỗ hổng”.
Các cơ quan chức năng khuyến cáo đơn vị vận hành website xác định những phiên bản bị ảnh hưởng và cập nhật phần mềm càng sớm càng tốt.
Ông Dương Ngọc Thái sinh ra ở TP.HCM, học ngành công nghệ thông tin tại Đại học Bách khoa TP.HCM, từng làm Trưởng phòng An toàn thông tin ở Ngân hàng Đông Á, sau đó mới sang Thung lũng Silicon (Mỹ).
Ông từng làm việc tại Google trong khoảng 12 năm, tập trung vào bảo mật và mật mã học. Dương Ngọc Thái tham gia phát triển Google Tink (bộ công cụ mật mã giúp lập trình viên sử dụng các kỹ thuật mã hóa an toàn hơn) và Project Wycheproof (dự án kiểm tra các thư viện mật mã nhằm phát hiện những điểm yếu có thể bị khai thác).
Trước và trong giai đoạn đầu sự nghiệp, ông góp phần phát hiện các lỗ hổng BEAST, CRIME và POODLE, liên quan đến những giao thức hoặc cơ chế bảo mật được sử dụng để bảo vệ dữ liệu truyền qua Internet. Dương Ngọc Thái cùng Juliano Rizzo nhận giải Pwnie năm 2011 ở hạng mục Best Server-Side Bug (lỗ hổng phía máy chủ xuất sắc nhất).
Google, OpenAI, Amazon vào cuộc
Các hãng công nghệ nổi tiếng như Google, OpenAI, Amazon tham gia tìm kiếm lỗ hổng, phát hiện những cuộc tấn công tiềm ẩn và bảo vệ các hệ thống có nguy cơ bị ảnh hưởng.
Hôm 21/10, Cơ quan An ninh quốc gia Mỹ (NSA) kêu gọi các tổ chức sử dụng PHP chuẩn bị cài đặt những bản cập nhật bảo mật để khắc phục lỗ hổng. NSA cảnh báo các lỗ hổng có thể cho phép kẻ tấn công truy cập trực tiếp vào hệ thống file và cơ sở dữ liệu trên máy chủ. Nếu chưa thể cập nhật ngay, NSA khuyến nghị tạm thời ngắt kết nối các hệ thống bị ảnh hưởng cho đến khi xử lý triệt để lỗ hổng.
Cục Điều tra Liên bang Mỹ (FBI) cũng cảnh báo các đối tượng xấu có thể lợi dụng hai lỗ hổng này để thực thi mã từ xa, đặt dữ liệu nhạy cảm và các hệ thống mạng trước nguy cơ bị tấn công.
Các cơ quan an ninh mạng tại Singapore, Anh, Úc, Canada và Liên minh châu Âu (EU) đã đưa ra những cảnh báo tương tự. Động thái này cho thấy mối lo ngại về tác động tiềm tàng với doanh nghiệp, cơ quan chính phủ và các tổ chức khác sử dụng những hệ thống dựa trên PHP.
Amazon cho biết đội ngũ tình báo về mối đe dọa an ninh mạng của hãng đã phát hiện những nỗ lực khai thác các lỗ hổng trước khi thông tin được công bố rộng rãi. Phát hiện này được thực hiện thông qua MadPot, hệ thống phát hiện mối đe dọa của Amazon chuyên theo dõi hoạt động đáng ngờ trên các hệ thống hạ tầng kết nối trực tiếp với Internet.
Theo Amazon, những phát hiện trên cho thấy các đối tượng xấu có thể đã tìm cách khai thác hai lỗ hổng từ trước khi chúng được công khai. Tuy nhiên, tập đoàn Mỹ vẫn chưa rõ bằng cách nào những kẻ tấn công có được thông tin về hai lỗ hổng trước thời điểm công bố.
Trong khi đó, Google và OpenAI nhấn mạnh vai trò ngày càng tăng của AI trong việc phát hiện và xử lý các mối đe dọa an ninh mạng. Google cho biết đơn vị an ninh mạng Wiz đã sử dụng các mô hình AI để hỗ trợ tìm kiếm và điều tra những lỗ hổng. Mô hình AI Gemini của Google cũng góp phần đánh giá mức độ nghiêm trọng, thử nghiệm các phương thức tấn công tiềm tàng và kiểm tra tính hiệu quả của các bản vá bảo mật.
OpenAI thông báo các nhà nghiên cứu sử dụng những mô hình AI của công ty cũng góp phần phát hiện các lỗ hổng nghiêm trọng trong PHP. Trong hai tháng qua, OpenAI đã dẫn dắt một liên minh gồm các nhóm duy trì phần mềm, nhà nghiên cứu an ninh mạng và nhà cung cấp dịch vụ bảo mật nhằm phối hợp sửa lỗi, chuẩn bị biện pháp bảo vệ trước khi thông tin về lỗ hổng được công bố rộng rãi.
Công ty phát triển ChatGPT mô tả hai lỗ hổng này là một trong những vấn đề bảo mật nghiêm trọng nhất thời gian gần đây. Vụ việc cho thấy các AI tiên tiến có thể giúp phát hiện lỗ hổng trong những phần mềm được sử dụng rộng rãi, nhưng đồng thời cũng làm dấy lên lo ngại rằng tội phạm mạng có thể lợi dụng những năng lực tương tự để tiến hành các cuộc tấn công.
Cloudflare, nhà cung cấp dịch vụ bảo mật web và điện toán đám mây, cho biết đã triển khai các biện pháp bảo vệ nhằm ngăn chặn việc khai thác lỗ hổng PHP2Shell thông qua tường lửa ứng dụng web. Biện pháp này được thiết kế để chặn các yêu cầu độc hại nhắm vào những hệ thống có nguy cơ bị ảnh hưởng, tạo thêm một lớp bảo vệ trong khi các tổ chức triển khai bản cập nhật phần mềm.
Dane Knecht, Giám đốc công nghệ của Cloudflare, cho biết các cuộc tấn công đã bắt đầu xuất hiện.
“Chúng tôi đang ghi nhận những cuộc tấn công đầu tiên và cập nhật các biện pháp giảm thiểu khi xuất hiện những cách thức khai thác mới. Đây chỉ là giải pháp tạm thời. Hãy cài đặt bản vá ngay khi PHP phát hành bản cập nhật”, ông Dane Knecht viết trên mạng xã hội X.
Sự việc trên cho thấy các lỗ hổng trong phần mềm được sử dụng rộng rãi có thể gây rủi ro cho nhiều ngành nghề và quốc gia, trong khi AI ngày càng đóng vai trò quan trọng để hỗ trợ các nhà nghiên cứu an ninh mạng phát hiện và xử lý những điểm yếu này.