Lỗ hổng PHP: cảnh báo 22/10 tách việc vá lỗi và điều tra xâm nhập
· Ban biên tập BehindLines
Trung tâm An ninh mạng quốc gia New Zealand đã cập nhật cảnh báo về hai lỗ hổng nghiêm trọng của PHP vào ngày 22 tháng 10. Trung tâm cho biết đã biết đến các báo cáo về việc lỗ hổng đang bị khai thác. Thông tin này được bổ sung sau khi dự án PHP phát hành bản sửa lỗi ngày 21 tháng 10: bản cập nhật được cung cấp và việc cài đặt nó trên máy chủ là hai bước riêng biệt.
PHP được dùng để vận hành các trang web và ứng dụng web. Hai lỗ hổng mang mã CVE-2026-109618 và CVE-2026-109619 có thể cho phép thực thi mã từ xa mà không cần xác thực trên máy chủ bị ảnh hưởng. Tuy nhiên, khả năng kỹ thuật đó tự nó không chứng minh rằng một trang web cụ thể đã bị xâm nhập. Cảnh báo của New Zealand không đưa ra số liệu về nạn nhân trên toàn thế giới.
Các phiên bản đã sửa lỗi được công bố là PHP 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Dự án cũng hướng người dùng các bản phân phối Linux và dịch vụ bảo trì dài hạn đến nhà cung cấp để nhận gói phù hợp. PHP Foundation xác nhận cả hai vấn đề liên quan đến hoạt động bên trong của bộ máy PHP, và việc sửa lỗi đòi hỏi thay đổi những cơ chế khó chỉnh sửa.
Cảnh báo không chỉ liên quan đến các trang web do một nhóm quản trị web trực tiếp quản lý. Trong phần bổ sung lúc 10 giờ 20 ngày 22 tháng 10, trung tâm New Zealand giải thích rằng một số cách tích hợp PHP, chẳng hạn trong tường lửa hoặc thiết bị khác, cần được đánh giá và sửa lỗi riêng theo nhà cung cấp. Vì vậy, cập nhật máy chủ chính không đủ để kết luận rằng mọi thành phần bị ảnh hưởng đều đã được xử lý.
Với các tổ chức có nguy cơ bị ảnh hưởng, trung tâm yêu cầu vừa áp dụng bản sửa lỗi, vừa điều tra khả năng có truy cập trái phép. Hai công việc này trả lời những câu hỏi khác nhau: đóng lỗ hổng đang tồn tại và xác định nó đã từng bị khai thác hay chưa. Các nguồn được tham khảo không cho phép xác định bên chịu trách nhiệm về các cuộc tấn công hoặc đo lường quy mô của chúng.
Bài viết được soạn với sự hỗ trợ của AI và đã được kiểm chứng.