Hôm qua mọi người bàn tán về lỗ hổng PHP khiến ai nấy đều hoang mang. Tôi đã xem qua và tìm hiểu sơ bộ.
PHP là một ngôn ngữ lập trình phía máy chủ rất phổ biến, được nhiều website sử dụng, trong đó có WordPress, Magento, v.v.
Hai lỗ hổng nghiêm trọng vừa được công bố đều có điểm CVSS là 9,2. Nói đơn giản, trong một số điều kiện nhất định, kẻ tấn công thậm chí không cần đăng nhập vẫn có thể thực thi mã từ xa và tấn công trực tiếp vào máy chủ website. Trường hợp nghiêm trọng, chúng có thể đánh cắp cơ sở dữ liệu, thông tin đăng nhập, thậm chí kiểm soát toàn bộ máy chủ.
━━━━━━━━━━━━
Một chuyện khó tin xảy ra hôm qua là ban đầu, hai lỗ hổng này dự kiến sẽ được công bố đồng loạt vào ngày 22 tháng 10, để đội ngũ phát triển có thời gian khắc phục.
Thế nhưng ngày 20 tháng 10, có kẻ đã tiết lộ thông tin về lỗ hổng trên Hacker News trước thời hạn.
Ngay sau đó lại xảy ra một sự cố:
Đội bảo mật Calif tham gia nghiên cứu lỗ hổng đã đăng trước video trình diễn tấn công PoC. Dù video nhanh chóng bị xóa, nó đã bắt đầu lan truyền trên mạng. (Video ở bên dưới)
Lỗ hổng vốn vẫn đang được phối hợp khắc phục, vậy mà phần trình diễn tấn công đã bị công khai trước. PHP chỉ còn cách phát hành bản vá sớm hơn, vào ngày 21 tháng 10.
Hơn nữa, đội bảo mật đã ghi nhận các nỗ lực khai thác lỗ hổng trên thực tế. Một số cơ quan chính phủ và website thậm chí đã chọn tạm thời ngừng hoạt động để ưu tiên kiểm tra và khắc phục.
━━━━━━━━━━━━
Chuyện này ảnh hưởng gì đến chúng ta?
Nếu các website bạn thường dùng có lỗ hổng ở phía máy chủ mà chưa được khắc phục kịp thời, một khi bị tấn công, trang web có thể bị chỉnh sửa, cài nội dung lừa đảo, thậm chí trở thành nơi đánh cắp thông tin đăng nhập.
Đặc biệt là người dùng Crypto: trong vài ngày tới, khi truy cập sàn giao dịch, ví tiền hoặc website airdrop, hãy cố gắng truy cập qua các kênh chính thức. Đừng nhấp bừa vào liên kết lạ, cũng đừng tùy tiện ký giao dịch!! Nghe nói hai ngày tới tình hình sẽ rất nghiêm trọng.
Lỗ hổng này đã tồn tại nhiều năm, nhưng các công cụ AI hỗ trợ nghiên cứu đã hạ thấp rào cản phát hiện và tạo ra phương thức khai thác.
Một khi lỗ hổng bị lộ, kẻ tấn công có thể nhanh chóng hành động theo, trong khi việc khắc phục trên số lượng lớn website trên toàn cầu cần có thời gian.
Nói cách khác, tốc độ vá lỗ hổng giờ đây đang chạy đua với tốc độ lan truyền của các kỹ thuật tấn công.
PHP là một ngôn ngữ lập trình phía máy chủ rất phổ biến, được nhiều website sử dụng, trong đó có WordPress, Magento, v.v.
Hai lỗ hổng nghiêm trọng vừa được công bố đều có điểm CVSS là 9,2. Nói đơn giản, trong một số điều kiện nhất định, kẻ tấn công thậm chí không cần đăng nhập vẫn có thể thực thi mã từ xa và tấn công trực tiếp vào máy chủ website. Trường hợp nghiêm trọng, chúng có thể đánh cắp cơ sở dữ liệu, thông tin đăng nhập, thậm chí kiểm soát toàn bộ máy chủ.
━━━━━━━━━━━━
Một chuyện khó tin xảy ra hôm qua là ban đầu, hai lỗ hổng này dự kiến sẽ được công bố đồng loạt vào ngày 22 tháng 10, để đội ngũ phát triển có thời gian khắc phục.
Thế nhưng ngày 20 tháng 10, có kẻ đã tiết lộ thông tin về lỗ hổng trên Hacker News trước thời hạn.
Ngay sau đó lại xảy ra một sự cố:
Đội bảo mật Calif tham gia nghiên cứu lỗ hổng đã đăng trước video trình diễn tấn công PoC. Dù video nhanh chóng bị xóa, nó đã bắt đầu lan truyền trên mạng. (Video ở bên dưới)
Lỗ hổng vốn vẫn đang được phối hợp khắc phục, vậy mà phần trình diễn tấn công đã bị công khai trước. PHP chỉ còn cách phát hành bản vá sớm hơn, vào ngày 21 tháng 10.
Hơn nữa, đội bảo mật đã ghi nhận các nỗ lực khai thác lỗ hổng trên thực tế. Một số cơ quan chính phủ và website thậm chí đã chọn tạm thời ngừng hoạt động để ưu tiên kiểm tra và khắc phục.
━━━━━━━━━━━━
Chuyện này ảnh hưởng gì đến chúng ta?
Nếu các website bạn thường dùng có lỗ hổng ở phía máy chủ mà chưa được khắc phục kịp thời, một khi bị tấn công, trang web có thể bị chỉnh sửa, cài nội dung lừa đảo, thậm chí trở thành nơi đánh cắp thông tin đăng nhập.
Đặc biệt là người dùng Crypto: trong vài ngày tới, khi truy cập sàn giao dịch, ví tiền hoặc website airdrop, hãy cố gắng truy cập qua các kênh chính thức. Đừng nhấp bừa vào liên kết lạ, cũng đừng tùy tiện ký giao dịch!! Nghe nói hai ngày tới tình hình sẽ rất nghiêm trọng.
Lỗ hổng này đã tồn tại nhiều năm, nhưng các công cụ AI hỗ trợ nghiên cứu đã hạ thấp rào cản phát hiện và tạo ra phương thức khai thác.
Một khi lỗ hổng bị lộ, kẻ tấn công có thể nhanh chóng hành động theo, trong khi việc khắc phục trên số lượng lớn website trên toàn cầu cần có thời gian.
Nói cách khác, tốc độ vá lỗ hổng giờ đây đang chạy đua với tốc độ lan truyền của các kỹ thuật tấn công.