AI phát hiện lỗ hổng bảo mật nghiêm trọng, giới an ninh mạng chạy đua bảo vệ Internet

Hai lỗ hổng bảo mật PHP có khả năng cho phép tin tặc thực thi mã từ xa đã kích hoạt cuộc chạy đua vá lỗi trên toàn cầu, buộc nhiều tổ chức phải tạm ngừng website để kiểm tra hệ thống. Đáng chú ý, trí tuệ nhân tạo (AI) đóng vai trò quan trọng trong việc phát hiện lỗ hổng, đồng thời làm gia tăng sức ép lên các đội ngũ bảo mật trước nguy cơ tin tặc tận dụng công nghệ tương tự để tấn công.

Lỗ hổng PHP khiến nhiều tổ chức phải hành động khẩn cấp

Ngày 21.10 được xem là một trong những thời điểm căng thẳng đối với cộng đồng an ninh mạng, khi thông tin về hai lỗ hổng nghiêm trọng trong PHP bất ngờ được công khai. Sự việc nhanh chóng kích hoạt quá trình ứng phó trên diện rộng, từ các nhà phát triển phần mềm, công ty bảo mật đến cơ quan chính phủ và doanh nghiệp vận hành hạ tầng Internet.

Hai lỗ hổng được gọi chung là PHP2Shell, mang mã định danh CVE-2026-109618 và CVE-2026-109619. Theo các thông tin được công bố, chúng có thể cho phép kẻ tấn công thực thi mã từ xa trên những hệ thống bị ảnh hưởng mà không cần xác thực trong các điều kiện khai thác phù hợp. Nếu bị lợi dụng thành công, lỗ hổng có thể tạo điều kiện để tin tặc chạy mã độc, truy cập dữ liệu nhạy cảm hoặc tiếp tục xâm nhập sâu hơn vào hệ thống.

Mức độ nguy hiểm của PHP2Shell nằm ở phạm vi ảnh hưởng tiềm tàng. PHP là ngôn ngữ lập trình phía máy chủ được sử dụng rộng rãi để xây dựng website và các dịch vụ trực tuyến. Theo những số liệu được các nguồn tin dẫn lại, ngôn ngữ này hiện xuất hiện trên khoảng 70% website toàn cầu.

Điều đó có nghĩa, một lỗ hổng nghiêm trọng trong PHP có thể đặt nhiều hệ thống trước nguy cơ, từ website doanh nghiệp, nền tảng dịch vụ trực tuyến đến các cổng thông tin công cộng. Tuy nhiên, không phải mọi website sử dụng PHP đều tự động bị ảnh hưởng, bởi mức độ rủi ro còn phụ thuộc vào phiên bản phần mềm, cấu hình triển khai và các thành phần đang được sử dụng.

Trước nguy cơ bị tấn công, một số cơ quan và tổ chức đã chủ động tạm ngừng hoạt động website để rà soát, đánh giá mức độ ảnh hưởng và triển khai biện pháp khắc phục. Theo các báo cáo được công bố, những hệ thống tại Pháp, Hà Lan và Australia nằm trong số các dịch vụ phải thực hiện biện pháp phòng ngừa.

Động thái này cho thấy mức độ khẩn cấp của sự việc. Trong môi trường Internet kết nối liên tục, việc tạm ngừng một dịch vụ có thể gây gián đoạn hoạt động, nhưng đôi khi là lựa chọn cần thiết để giảm nguy cơ bị xâm nhập khi chưa thể triển khai bản vá kịp thời.

AI tìm ra lỗ hổng tồn tại nhiều năm

Điểm đáng chú ý trong sự việc không chỉ là mức độ nghiêm trọng của PHP2Shell, mà còn ở cách các lỗ hổng được phát hiện.

Theo thông tin được công bố, Calif Research, một công ty khởi nghiệp về an ninh mạng tại Mỹ có nhiều thành viên người Việt Nam, là một trong những đơn vị đầu tiên phát hiện vấn đề. Quá trình nghiên cứu được hỗ trợ bởi mô hình AI GPT-5.6 Sol của OpenAI trong khuôn khổ hoạt động kiểm tra mã nguồn phần mềm.

Dương Ngọc Thái, CEO Calif Research, cho biết nhóm nghiên cứu ban đầu phát hiện một lỗi liên quan đến tình trạng cạn bộ nhớ. Sau quá trình phân tích sâu hơn, các nhà nghiên cứu nhận ra có thể kết hợp những điểm yếu trong mã nguồn để hình thành phương thức khai thác nguy hiểm hơn, từ đó phát hiện thêm các lỗi có khả năng dẫn đến thực thi mã từ xa.

Theo những thông tin được chia sẻ, các lỗ hổng này đã tồn tại trong mã nguồn PHP từ lâu nhưng khó khai thác bằng những phương pháp thông thường. AI giúp các nhà nghiên cứu phân tích mã nguồn, xác định những tình huống bất thường và tìm ra cách kết hợp các điểm yếu để tạo thành chuỗi khai thác.

Đây là bước tiến đáng chú ý trong lĩnh vực an ninh mạng. Trước đây, việc phát hiện những lỗ hổng phức tạp thường đòi hỏi chuyên gia có kiến thức sâu về ngôn ngữ lập trình, kiến trúc phần mềm và cơ chế vận hành của hệ thống. Với sự hỗ trợ của AI, một số công đoạn phân tích có thể được đẩy nhanh, giúp rút ngắn thời gian tìm kiếm lỗi.

Tuy nhiên, điều đó không đồng nghĩa AI có thể tự động phát hiện và khai thác thành công mọi lỗ hổng. Kết quả còn phụ thuộc vào năng lực của mô hình, chất lượng dữ liệu, cách thiết lập quá trình kiểm tra và khả năng đánh giá của chuyên gia. Đối với những hệ thống phức tạp, việc xác minh khả năng khai thác thực tế vẫn cần nhiều công sức và kiến thức chuyên môn.

Cùng thời gian, nhóm nghiên cứu bảo mật Wiz của Google cũng thông báo đã phát hiện những lỗ hổng tương tự với sự hỗ trợ của mô hình Gemini 4 Argon. Theo Google, AI đóng góp vào nhiều công đoạn, từ tìm kiếm lỗ hổng, phát triển phương thức khai thác đến phát hiện dấu hiệu tấn công và xác thực bản vá.

Việc nhiều nhóm nghiên cứu sử dụng các mô hình AI khác nhau để phát hiện những vấn đề nghiêm trọng trong cùng một nền tảng cho thấy công nghệ này đang trở thành công cụ quan trọng trong hoạt động kiểm thử và bảo vệ phần mềm.

Cuộc chạy đua vá lỗi diễn ra suốt ngày đêm

Sau khi xác định mức độ nghiêm trọng của PHP2Shell, các nhà nghiên cứu và đơn vị duy trì PHP phải phối hợp để xây dựng bản vá trước khi thông tin bị công khai rộng rãi.

Theo thông tin từ Calif Research và các bên liên quan, quá trình xử lý được giữ kín nhằm hạn chế nguy cơ tin tặc biết được điểm yếu và tìm cách khai thác trước khi biện pháp khắc phục sẵn sàng. Công việc đòi hỏi sự phối hợp giữa các nhà nghiên cứu bảo mật, kỹ sư phần mềm và những đơn vị chịu trách nhiệm phân phối, vận hành các thành phần liên quan.

Quy mô công việc không nhỏ, bởi việc sửa lỗi không chỉ dừng ở một vài dòng mã. Nhóm phát triển phải rà soát các thành phần liên quan, điều chỉnh mã nguồn và kiểm tra để bảo đảm bản vá không gây ra những vấn đề mới. Theo thông tin được công bố, quá trình này liên quan đến gần 200 tập tin và hơn 10.000 dòng mã được viết hoặc chỉnh sửa.

Kế hoạch ban đầu là phát hành bản vá vào ngày 22.10. Tuy nhiên, sau khi thông tin về lỗ hổng bất ngờ xuất hiện công khai sớm hơn dự kiến, các nhóm liên quan quyết định đẩy nhanh thời điểm phát hành, đồng thời khuyến cáo quản trị viên cập nhật hệ thống ngay khi có thể.

Sức ép tăng mạnh khi các dấu hiệu khai thác bắt đầu xuất hiện trên Internet. Matthew Prince, CEO Cloudflare, cho biết công ty ghi nhận hàng nghìn nỗ lực khai thác trong khoảng 10 giờ trước khi lỗ hổng được công bố. Sau khi thông tin lan truyền rộng rãi, số lượt thử khai thác tăng lên hàng chục nghìn chỉ trong 45 phút, hàng trăm nghìn trong vòng 2 giờ và tiếp tục tăng lên mức hàng triệu.

Những con số này phản ánh tốc độ mà thông tin về một lỗ hổng nghiêm trọng có thể được chuyển thành các hoạt động dò tìm và tấn công trên quy mô lớn. Khi phương thức khai thác được chia sẻ, nhiều đối tượng có thể nhanh chóng tự động hóa việc quét các hệ thống có nguy cơ để tìm mục tiêu chưa được cập nhật.

Dù vậy, số lượt thử khai thác không đồng nghĩa với số vụ xâm nhập thành công. Theo các chuyên gia bảo mật được truyền thông quốc tế dẫn lời, tại thời điểm 23.10, nhiều nhóm nghiên cứu chưa ghi nhận bằng chứng về một chiến dịch khai thác thành công trên diện rộng. Một số đơn vị phát hiện mã khai thác thử nghiệm, nhưng việc biến chúng thành cuộc tấn công hiệu quả vẫn gặp trở ngại.

Điều này không có nghĩa các tổ chức có thể chủ quan. Một hệ thống chưa ghi nhận dấu hiệu xâm nhập vẫn có thể tồn tại rủi ro, đặc biệt nếu công tác giám sát chưa đủ khả năng phát hiện hoạt động bất thường.

Bản vá chưa đủ để loại bỏ mọi nguy cơ

Một trong những thách thức lớn nhất của sự cố PHP2Shell là khoảng cách giữa việc phát hành bản vá và khả năng triển khai bản vá trên toàn bộ hệ thống đang hoạt động.

Đối với các doanh nghiệp có hàng trăm hoặc hàng nghìn máy chủ, việc cập nhật phần mềm để vá lổ hổng có thể đòi hỏi nhiều bước kiểm tra. Quản trị viên phải xác định những hệ thống đang sử dụng phiên bản PHP bị ảnh hưởng, đánh giá mức độ ưu tiên, kiểm tra khả năng tương thích và triển khai bản vá mà không gây gián đoạn các dịch vụ quan trọng.

Nick Woodhead, nhà sáng lập GPTree và Giám đốc công nghệ tại Rothco and Compubox, cho biết ông đã trải qua khoảng 48 giờ không ngủ để xử lý các vấn đề liên quan đến sự cố lỗ hổng PHP. Theo ông, khó khăn không chỉ nằm ở việc cài đặt bản vá, mà còn ở việc xác định liệu dữ liệu hoặc hệ thống có bị xâm nhập trước đó hay không.

Đây là vấn đề quan trọng trong ứng phó sự cố an ninh mạng. Bản vá có thể khắc phục điểm yếu trong phần mềm, nhưng không tự động loại bỏ mã độc đã được cài đặt, tài khoản bị đánh cắp hoặc quyền truy cập mà tin tặc có thể đã thiết lập trước đó.

Do đó, sau khi cập nhật bản vá lỗ hổng, các tổ chức vẫn cần rà soát nhật ký hệ thống, kiểm tra những kết nối bất thường, đánh giá dấu hiệu truy cập trái phép và thay đổi thông tin xác thực nếu có căn cứ cho thấy chúng đã bị lộ. Với các hệ thống có nguy cơ cao, việc điều tra dấu hiệu xâm nhập cần được tiến hành song song với quá trình vá lỗi.

Các chuyên gia cũng khuyến cáo doanh nghiệp lập danh sách đầy đủ những máy chủ sử dụng PHP, ưu tiên xử lý các hệ thống có thể truy cập từ Internet và theo dõi sát các cảnh báo lỗ hổng bảo mật. Trong trường hợp chưa thể cập nhật ngay, tổ chức cần cân nhắc biện pháp giảm thiểu rủi ro, chẳng hạn hạn chế truy cập hoặc tạm ngừng dịch vụ bị ảnh hưởng khi cần thiết.

AI mở ra cuộc đua mới giữa bên tấn công và phòng thủ

PHP2Shell không phải sự cố duy nhất gây sức ép lên giới an ninh mạng trong thời gian này. Những báo cáo được công bố còn đề cập đến các lỗ hổng trong Node.js, mã độc được phát tán thông qua hệ sinh thái phần mềm của LiteLLM và sự cố liên quan đến khóa riêng của một tổ chức cấp chứng chỉ số.

Các sự kiện này không nhất thiết có cùng nguyên nhân hoặc liên quan trực tiếp với nhau. Tuy nhiên, việc nhiều vấn đề bảo mật xuất hiện gần nhau cho thấy khối lượng công việc mà các đội ngũ kỹ thuật phải xử lý ngày càng lớn, trong khi tốc độ phát hiện và khai thác lỗ hổng cũng đang thay đổi.

AI có thể giúp chuyên gia bảo mật tìm ra những điểm yếu khó nhận diện bằng phương pháp truyền thống, tự động hóa việc phân tích mã nguồn và hỗ trợ kiểm tra bản vá. Mặt khác, nếu được sử dụng để tìm kiếm mục tiêu, tạo mã khai thác hoặc tự động hóa các bước tấn công, công nghệ này cũng có thể giúp kẻ xấu tăng tốc hoạt động.

Dù vậy, không nên xem AI là nguyên nhân duy nhất khiến nguy cơ an ninh mạng gia tăng. Các yếu tố như phần mềm lỗi thời, cấu hình không an toàn, mật khẩu bị lộ, thiếu giám sát và quy trình cập nhật chậm vẫn là những nguyên nhân quan trọng khiến hệ thống dễ bị tổn thương.

Bài học từ PHP2Shell là khả năng phát hiện lỗ hổng nhanh hơn cần đi kèm năng lực khắc phục và ứng phó tương ứng. Một bản vá được phát hành sớm chỉ phát huy hiệu quả khi các tổ chức xác định đúng hệ thống bị ảnh hưởng, triển khai kịp thời và kiểm tra xem có dấu hiệu xâm nhập trước đó hay không.

Cuộc chạy đua bảo vệ Internet vì thế không kết thúc khi bản vá được công bố. Trong bối cảnh AI ngày càng tham gia sâu vào cả hoạt động tấn công lẫn phòng thủ, khả năng phối hợp giữa nhà phát triển, chuyên gia bảo mật và đơn vị vận hành hạ tầng sẽ quyết định mức độ giảm thiểu thiệt hại. Với các doanh nghiệp, ưu tiên trước mắt vẫn là rà soát hệ thống có sử dụng PHP, cập nhật bản vá chính thức và duy trì giám sát liên tục, thay vì chỉ chờ đến khi xuất hiện dấu hiệu bị tấn công mới hành động.