Quỹ PHP thiếu kinh phí nghiêm trọng, chỉ có một nhân viên toàn thời gian

Tuy nhiên, quỹ phi lợi nhuận hỗ trợ phát triển PHP, ngôn ngữ lập trình được cho là đang vận hành nền tảng của tới 70% website trên toàn cầu, lại hoạt động với ngân sách vô cùng eo hẹp.

CEO Quỹ PHP: 'Tôi là nhân viên toàn thời gian duy nhất'

“Chúng tôi có một nhân viên toàn thời gian, chính là tôi, cùng 14 cộng tác viên, phần lớn làm việc bán thời gian”, bà Elizabeth Barron, Giám đốc điều hành Quỹ PHP (PHP Foundation), cho biết trong cuộc phỏng vấn với Reuters hôm 23/10. Các thành viên hội đồng quản trị đều làm việc tình nguyện, không nhận thù lao. Kinh phí hoạt động của Quỹ PHP đến từ các khoản quyên góp và tài trợ.

Quỹ PHP phối hợp với các nhà nghiên cứu độc lập và doanh nghiệp, trong đó có OpenAI cùng các công ty an ninh mạng Wiz thuộc Google và Calif của Dương Ngọc Thái, để điều tra lỗ hổng bảo mật và phối hợp khắc phục, gồm cả việc phát hành các bản vá hôm 21/10.

Công ty bảo mật web Cloudflare đã ghi nhận hàng triệu lượt thử tấn công mạng, nhưng Elizabeth Barron nói Quỹ PHP chưa có bằng chứng cho thấy hacker khai thác được những lỗ hổng này trước khi chúng được công bố hoặc tấn công các website đã cài đặt bản vá.

“OpenAI, Wiz và Calif, những đơn vị đang phối hợp chặt chẽ với chúng tôi về vấn đề này, chưa cung cấp thêm bất kì thông tin nào cho thấy hệ thống đã cài đặt bản vá gặp sự cố”, bà Elizabeth Barron nói.

AI vừa hỗ trợ, vừa tạo thêm gánh nặng cho Quỹ PHP

Trí tuệ nhân tạo (AI) vừa hỗ trợ, vừa tạo thêm gánh nặng cho Quỹ PHP. Công nghệ này giúp các nhà nghiên cứu phát hiện những lỗ hổng đã tồn tại suốt một thập niên, đồng thời giúp lập trình viên làm việc hiệu quả hơn, theo Elizabeth Barron.

Tuy nhiên, AI cũng làm gia tăng khối lượng công việc cho đội ngũ duy trì dự án. Dự án PHP hiện nhận được số lượng đề xuất chỉnh sửa mã nguồn gần gấp đôi so với một năm trước, nhưng số người đóng góp vẫn không tăng gấp đôi, bà cho biết.

Việc xem xét các phần đóng góp vào mã nguồn và báo cáo lỗi vẫn đòi hỏi rất nhiều công sức, kiến thức chuyên môn và kinh nghiệm của con người.

Theo Elizabeth Barron, những sự kiện gần đây cho thấy các doanh nghiệp và chính phủ phụ thuộc sâu sắc đến mức nào vào PHP.

“Xét đến mức độ phụ thuộc đó, rõ ràng là kinh phí để duy trì và phát triển ngôn ngữ lập trình này lại quá ít”, bà nhấn mạnh.

Quỹ PHP tăng cường kiểm tra bảo mật sau các lỗ hổng nghiêm trọng

Vấn đề của Quỹ PHP không dừng lại ở việc phát hiện và sửa lỗi. Thách thức lớn hơn là làm thế nào để phát hiện sớm các điểm yếu trong phần lõi của ngôn ngữ lập trình PHP, đồng thời giúp hàng triệu website cập nhật bản vá kịp thời.

Theo báo cáo được công bố tháng 5/2026, Quỹ PHP đã hỗ trợ dự án phát hành PHP 8.5, triển khai phiên bản 1.0 của PIE - công cụ quản lý và cài đặt phần mở rộng PHP, đồng thời thực hiện khoảng 42% tổng số lần chỉnh sửa mã nguồn lõi trong năm 2025. Quỹ PHP nhận được 730.534 USD từ các nhà tài trợ và cá nhân trong năm 2025. Tuy nhiên, chi phí hoạt động vẫn cao hơn nguồn thu khoảng 139.000 USD, cho thấy việc duy trì đội ngũ phát triển chuyên nghiệp đòi hỏi nguồn tài chính ổn định.

Đáng chú ý, ngày 23/10, nhóm phát triển PHP tiếp tục đưa ra cảnh báo về một lỗ hổng thực thi mã từ xa khác, mang mã CVE-2026-115560. Lỗi này chỉ xuất hiện khi ứng dụng sử dụng một tổ hợp cấu hình phiên làm việc đặc biệt. Trong thời gian chờ bản sửa lỗi chính thức, nhóm phát triển PHP khuyến nghị tạm tắt tính năng theo dõi tiến trình tải dữ liệu lên máy chủ bằng cách đặt session.upload_progress.enabled=0.

Diễn biến trên cho thấy cập nhật PHP không phải công việc chỉ thực hiện một lần sau mỗi sự cố. Các tổ chức vận hành website cần theo dõi cảnh báo bảo mật, kiểm tra cả những phần mềm tích hợp và duy trì quy trình cập nhật thường xuyên để giảm nguy cơ bị tấn công.

Các dấu hiệu của một trong hai lỗ hổng PHP đã được phát hiện từ năm 2024

Quỹ PHP là tổ chức phi lợi nhuận thành lập năm 2021, có nhiệm vụ tài trợ và hỗ trợ các lập trình viên duy trì, phát triển PHP, gồm cả cải thiện bảo mật và khắc phục lỗi trong mã nguồn.

Theo Quỹ PHP, các dấu hiệu của một trong hai lỗ hổng trong PHP đã được phát hiện từ năm 2024, nhưng việc thống nhất phương án khắc phục kéo dài. Đến tháng 7/2026, quá trình nghiên cứu chuyên sâu được thúc đẩy thông qua chương trình Patch the Planet của OpenAI, với sự tham gia của các nhà nghiên cứu tại Calif và Wiz.

Trong quá trình kiểm tra mã nguồn PHP hồi tháng 8/2026, Ryan Austin - nhà nghiên cứu tại Calif - sử dụng mô hình GPT-5.6 Sol của OpenAI để hỗ trợ tìm kiếm và phân tích lỗ hổng, rồi phát hiện vấn đề. OpenAI tài trợ cho cuộc kiểm tra này trong khuôn khổ nỗ lực hỗ trợ các dự án phần mềm mã nguồn mở tìm và sửa lỗi bảo mật.

Wiz cũng độc lập tìm thấy và báo cáo các lỗ hổng liên quan. Calif sau đó phối hợp với nhóm phát triển PHP và các bên khác để đánh giá, khắc phục và chuẩn bị công bố thông tin.

Hai lỗ hổng PHP được các nhà nghiên cứu gọi chung là PHP2Shell, mang mã định danh CVE-2026-109618 và CVE-2026-109619. Hai lỗi liên quan đến cách PHP xử lý dữ liệu nội bộ khi xảy ra sự cố bộ nhớ, có thể dẫn đến rò rỉ dữ liệu hoặc thực thi mã từ xa trong những điều kiện nhất định. Cụ thể, CVE-2026-109618 liên quan đến việc xử lý tình trạng hết bộ nhớ khi dữ liệu của một yêu cầu chưa được khởi tạo đầy đủ. Trong khi đó, CVE-2026-109619 liên quan đến trạng thái dữ liệu nội bộ vẫn tồn tại sau khi vùng bộ nhớ chứa dữ liệu đó đã được giải phóng. Những lỗi này có thể khiến chương trình sử dụng dữ liệu không còn hợp lệ, dẫn đến hỏng bộ nhớ và mở đường cho việc thực thi mã trái phép.

Nói dễ hiểu, máy chủ website không chỉ gửi nội dung đến trình duyệt mà còn xử lý dữ liệu, quản lý phiên đăng nhập và giao tiếp với cơ sở dữ liệu. Nếu khai thác thành công lỗ hổng để chạy mã trái phép trên máy chủ, hacker có thể tìm cách đánh cắp thông tin, chiếm quyền điều khiển hệ thống hoặc sử dụng website bị xâm nhập làm bàn đạp cho các cuộc tấn công khác.

Mức độ nguy hiểm không nằm ở việc mọi website PHP đều chắc chắn sẽ bị xâm nhập, mà ở khả năng một lỗi trong công nghệ dùng chung có thể mở rộng phạm vi tấn công. Hacker có thể quét Internet để tìm những máy chủ chưa được cập nhật bản vá, thay vì phải dò tìm điểm yếu riêng của từng website.

Volker Dusch, kỹ sư bảo mật thuộc tổ chức quản lý dự án PHP, so sánh sự cố với Heartbleed, lỗ hổng OpenSSL gây chấn động năm 2014, từng buộc cộng đồng Internet trên toàn cầu chạy đua bảo vệ hàng trăm nghìn máy chủ.

Ngày 21/10, nhóm phát triển PHP phát hành các bản cập nhật 8.5.12, 8.4.27, 8.3.36 và 8.2.35 để khắc phục các lỗ hổng. Song trước đó, thông tin về bản vá dự kiến phát hành ngày 22/10 bị rò rỉ trên diễn đàn Hacker News hôm 20/10, khiến nhóm phát triển PHP đẩy nhanh lịch công bố để giảm thời gian hacker có thể chuẩn bị phương thức khai thác. Đến nay, chưa có thông tin công khai đáng tin cậy xác nhận danh tính thật của người đăng bài trên diễn đàn.

Amazon cho biết hệ thống giám sát an ninh MadPot đã phát hiện nỗ lực khai thác PHP2Shell từ ngày 17/10, trước khi hai lỗ hổng trong PHP được công bố rộng rãi. Yêu cầu tấn công xuất phát từ một địa chỉ IP gắn với dịch vụ ẩn danh thương mại. Amazon cho rằng hoạt động này có thể do một tác nhân đe dọa thực hiện, nhưng chưa xác định được cách đối tượng có thông tin về lỗ hổng trước thời điểm công bố.

Hiện chưa có căn cứ để khẳng định người đăng bài trên Hacker News chính là người đứng sau cuộc tấn công ngày 17/10.

Vụ việc cũng bộc lộ khó khăn của quy trình công bố lỗ hổng có phối hợp.

Một diễn biến khác gây tranh cãi liên quan đến công ty an ninh chuỗi cung ứng phần mềm Chainguard, đơn vị được cung cấp bản sửa lỗi trước ngày công bố để chuẩn bị cập nhật cho khách hàng. Theo Quỹ PHP, Chainguard đã công bố các gói phần mềm chứa bản vá vào ngày 21/10, sớm hơn 6 tiếng so với thời điểm công bố chính thức, làm suy yếu nỗ lực phối hợp bảo mật.

Dan Lorenc, Giám đốc điều hành Chainguard, không phủ nhận việc phát hành sớm, nhưng cho biết Chainguard đã phát hiện lỗ hổng độc lập và quyết định công bố bản sửa lỗi sau khi các bên tham gia phối hợp báo cáo dấu hiệu khai thác thực tế. Ông cho rằng lượng thông tin về lỗ hổng và bản vá đã lưu hành, cùng nguy cơ tấn công, khiến công ty cần hành động sớm.