OpenAI và Wiz phát hiện hai lỗ hổng PHP tồn tại từ năm 2004
Cơ quan An ninh Quốc gia Mỹ cảnh báo hai lỗ hổng nghiêm trọng trong PHP, ngôn ngữ lập trình phía máy chủ được sử dụng trên khoảng 70% website, có thể cho phép kẻ tấn công truy cập tệp hoặc cơ sở dữ liệu của máy chủ web. Các bản vá đã được phát hành, nhưng NSA cho biết những website chưa thể cập nhật ngay nên được đưa ngoại tuyến cho đến khi được bảo vệ. Các lỗ hổng này tồn tại trong những phiên bản PHP từ version 5, phát hành năm 2004; PHP 8.1 và các phiên bản cũ hơn hiện đã hết hỗ trợ, còn bài viết khuyến nghị nâng cấp lên PHP 8.5.12. Các nhà nghiên cứu làm việc với sáng kiến Patch the Planet của OpenAI và công ty Wiz của Google đã dùng các hệ thống AI để phát hiện lỗ hổng, sau đó phối hợp với PHP cùng nhiều công ty hạ tầng lớn để kiểm tra và phát hành bản sửa lỗi. OpenAI cho biết chưa có vụ tấn công nào được biết đến đã khai thác các lỗ hổng này trước khi chúng được công bố. Sự việc cho thấy vai trò hai mặt của AI trong an ninh mạng: AI giúp tìm và ngăn chặn lỗ hổng, nhưng cũng có thể giúp kẻ tấn công điều chỉnh mã khai thác cho nhiều phiên bản PHP và cấu hình máy chủ khác nhau. Các chủ website và nhà cung cấp dịch vụ hosting đang phải chạy đua cập nhật hàng chục triệu website có thể bị ảnh hưởng trước khi kẻ xấu biến thông tin công khai thành công cụ tấn công.
Quản trị viên website, doanh nghiệp và nhà cung cấp hosting cần kiểm tra phiên bản PHP và phối hợp cập nhật máy chủ ngay; nếu chưa thể vá, bài viết khuyến nghị đưa website ngoại tuyến tạm thời. Người dùng WordPress cũng cần làm việc với đơn vị hosting vì lỗ hổng nằm ở PHP trên máy chủ, không riêng mã nguồn WordPress.
Đọc bài gốc