PHP Foundation thừa nhận các vấn đề trong quy trình ra quyết định và nguồn lực hạn chế đã khiến bản vá bảo mật PHP cho một lỗ hổng được phát hiện lần đầu vào năm 2024 bị trì hoãn. Khi các bản vá khẩn cấp cho hai lỗ hổng nghiêm trọng có liên quan được phát hành hôm thứ Tư, các cơ quan chính phủ và tổ chức khác đã chủ động đưa website ngoại tuyến để phòng ngừa.

Những điểm chính

  • Quỹ gọi phản ứng chậm trễ là một thất bại mang tính cơ cấu, liên quan đến quy trình bảo mật và nguồn lực.
  • Các lỗ hổng này có thể cho phép kẻ tấn công chưa xác thực thực thi mã trên các máy chủ bị ảnh hưởng.
  • Các tổ chức tiền mã hóa rà soát mức độ phơi nhiễm, trong khi Coinbase và BitGo cho biết không có hệ thống nào bị ảnh hưởng.

Mục lục

Bản vá bảo mật PHP đình trệ do vấn đề tương thích và nhân sự

Theo thông tin của quỹ, trọng tâm nằm ở cách một mối lo ngại kỹ thuật đã được biết đến nhưng vẫn chưa được giải quyết trong nhiều tháng. Các nhà phát triển phát hiện dấu hiệu của lỗ hổng vào năm 2024 nhưng gặp khó khăn trong việc tìm ra biện pháp khắc phục không gây gián đoạn cho hệ sinh thái phần mềm rộng lớn được xây dựng trên PHP, một ngôn ngữ được sử dụng phổ biến cho website và ứng dụng web.

Vào thời điểm đó, các nhà phát triển chưa xác định được phương thức thực thi mã từ xa. Theo quỹ, nhóm nhỏ những người am hiểu cần thiết về bộ máy PHP còn phải đảm nhận nhiều trách nhiệm khác, khiến công việc khắc phục liên tục bị đình trệ rồi khởi động lại.

Quỹ mô tả sự chậm trễ này là một “thất bại mang tính cơ cấu”, bắt nguồn từ cả quy trình ra quyết định của đội ngũ bảo mật lẫn nguồn lực không đủ.

Vấn đề trở thành ưu tiên bảo mật hàng đầu sau khi công ty bảo mật Calif và OpenAI độc lập báo cáo cùng một vấn đề cốt lõi vào ngày 11 tháng 8. Calif đã chứng minh khả năng thực thi mã từ xa không cần điều kiện.

Các dịch vụ công trên diện rộng ngừng hoạt động để phòng ngừa

Các bản phát hành khẩn cấp gây gián đoạn tại nhiều quốc gia khi đơn vị vận hành ngắt kết nối dịch vụ trong lúc chuẩn bị cập nhật. Hà Lan đóng dịch vụ định danh số, còn Trung tâm An ninh mạng Quốc gia của nước này cũng đưa website của mình ngoại tuyến.

Nhà cung cấp dịch vụ CNTT nhà nước của Phần Lan, Valtori, ngắt kết nối các dịch vụ web công của chính phủ, trong khi Bộ Nội vụ Pháp tạm thời đưa các website của tỉnh ra khỏi mạng. Nhà cung cấp dịch vụ CNTT liên bang Đức ITZBund cũng vô hiệu hóa một số website.

Cục Tín hiệu Australia cho biết cyber.gov.au nằm trong số các website chính phủ bị ảnh hưởng bởi vấn đề PHP. Thủ tướng Nhật Bản Sanae Takaichi kêu gọi các đơn vị vận hành chuẩn bị áp dụng bản vá nhanh chóng và cho biết việc tạm ngừng chức năng website có thể giảm rủi ro khi chưa thể cập nhật ngay.

Wikimedia Foundation cũng đưa một số dịch vụ hỗ trợ ngoại tuyến, trong đó có Toolforge và Cloud VPS, khiến một số chức năng của Wikipedia bị ảnh hưởng vào thứ Tư.

Các công ty tiền mã hóa đánh giá nguy cơ bị ảnh hưởng

Công ty bảo mật blockchain SlowMist cho biết dịch vụ MistEye của họ phát hiện dấu vân tay PHP trực tiếp trên 793 trong số 1.488 tên miền thuộc ngành tiền mã hóa được đánh giá. Công ty khuyến nghị các sàn giao dịch, nền tảng DeFi và nhà cung cấp ví rà soát mức độ phơi nhiễm và nâng cấp. Các phát hiện cho thấy việc sử dụng PHP, chứ không xác nhận những tên miền đó có lỗ hổng.

Intersect, tổ chức thành viên hỗ trợ quá trình phát triển và quản trị Cardano, tạm thời đóng Khu vực Thành viên trong khi đánh giá nguy cơ bị ảnh hưởng.

Giám đốc an ninh của Coinbase, Jeff Lunglhofer, cho biết công ty không tìm thấy bằng chứng về các bản cài đặt PHP bị phơi nhiễm và cũng đang kiểm tra với các nhà cung cấp bên thứ ba. BitGo thông báo riêng rằng nền tảng của họ không bị ảnh hưởng.

Tình trạng khai thác vẫn khác với rủi ro đã được chứng minh

Bất chấp rủi ro thực thi mã từ xa đã được chứng minh, đội ngũ bảo mật PHP cho biết họ chưa xác định được bất kỳ phương thức khai thác nào có thể hoạt động tại thời điểm công bố rộng rãi.

OpenAI phát hành một kỹ năng Codex thông qua GitHub để giúp các đơn vị vận hành kiểm tra những phiên bản PHP có khả năng dễ bị tấn công và xác định các bản cập nhật phù hợp.

Kết luận

Các bản vá khẩn cấp xử lý những lỗ hổng trước mắt, trong khi lời thừa nhận của quỹ cho thấy những thất bại trong quy trình đã khiến việc khắc phục bị trì hoãn. Các trường hợp ngừng hoạt động được báo cáo là biện pháp phòng ngừa, không phải bằng chứng cho thấy các tổ chức bị ảnh hưởng đã bị xâm nhập.

Đọc thêm tin tức

Thêm tin tức từ FinanceVelix

Tuyên bố miễn trừ trách nhiệm

Bài viết FinanceVelix này cung cấp thông tin chung, không phải lời khuyên tài chính, đầu tư, pháp lý hoặc thuế được cá nhân hóa. Giá thị trường, lãi suất và điều kiện kinh tế có thể thay đổi; các khoản đầu tư tiềm ẩn rủi ro thua lỗ. Các thông tin phản ánh tài liệu có tại thời điểm xuất bản và có thể thay đổi. Hãy tự kiểm tra độc lập các thông tin quan trọng và tham khảo chuyên gia đủ năng lực khi cần. Việc đề cập đến một tài sản, công ty hoặc dịch vụ không đồng nghĩa với sự chứng thực.