Theo Cointelegraph, PHP Foundation thừa nhận sự do dự và thiếu hụt nguồn lực đã làm chậm trễ việc khắc phục một lỗ hổng bảo mật nghiêm trọng được phát hiện lần đầu vào năm 2024, đồng thời gọi phản ứng trì trệ này là một “thất bại mang tính cơ cấu”. Hôm thứ Tư, các cơ quan chính phủ và tổ chức khác trên khắp thế giới đã tạm ngừng hoạt động các trang web như một biện pháp phòng ngừa, trong khi PHP phát hành bản vá khẩn cấp cho hai lỗ hổng nghiêm trọng có liên quan, vốn có thể cho phép kẻ tấn công chưa xác thực thực thi mã trên các máy chủ bị ảnh hưởng mà không cần đăng nhập.

PHP là một ngôn ngữ lập trình được sử dụng rộng rãi để vận hành các trang web, ứng dụng web và hệ thống quản lý nội dung. Trong một bài đăng trên blog sau khi phát hành bản vá, quỹ cho biết các nhà phát triển của họ lần đầu phát hiện dấu hiệu của lỗ hổng vào năm 2024, nhưng gặp khó khăn trong việc tạo ra bản sửa lỗi mà không làm gián đoạn hệ sinh thái rộng lớn được xây dựng trên PHP. Quỹ cho biết: "Kết hợp với việc chưa biết cách nào để thực thi mã từ xa và đội ngũ nòng cốt nhỏ gồm các nhà phát triển có kiến thức chuyên sâu cần thiết về bộ máy PHP đang phải đảm đương nhiều trách nhiệm, quy trình ra quyết định này khiến công việc sửa lỗi liên tục đình trệ rồi khởi động lại trong nhiều tháng." Quỹ nói thêm: "Chúng tôi sẽ không giả vờ như không có chuyện gì: sự chậm trễ này là một thất bại mang tính cơ cấu, bắt nguồn từ cả quy trình ra quyết định của đội ngũ bảo mật lẫn tình trạng thiếu nguồn lực." Lỗ hổng lại được cảnh báo vào ngày 11 tháng 8, sau khi công ty bảo mật Calif và OpenAI độc lập báo cáo cùng một vấn đề cốt lõi — Calif đã chứng minh khả năng thực thi mã từ xa vô điều kiện, khiến đây trở thành ưu tiên bảo mật hàng đầu. 

Sự gián đoạn lan rộng khắp thế giới: Hà Lan đóng dịch vụ định danh số và Trung tâm An ninh mạng Quốc gia của nước này đưa trang web xuống; nhà cung cấp dịch vụ CNTT nhà nước Phần Lan, Valtori, ngắt kết nối các dịch vụ web công cộng; Bộ Nội vụ Pháp tạm thời đưa các trang web của tỉnh xuống; nhà cung cấp dịch vụ CNTT liên bang Đức, ITZBund, vô hiệu hóa một số trang web, theo Reuters; còn Cục Tín hiệu Australia xác nhận cyber.gov.au bị ảnh hưởng. Thủ tướng Nhật Bản Sanae Takaichi kêu gọi các đơn vị vận hành trên X triển khai bản vá sớm nhất có thể, đồng thời nói rằng việc tạm ngừng một số chức năng của trang web có thể giảm rủi ro nếu chưa thể áp dụng bản vá ngay. Để đề phòng, Quỹ Wikimedia đã đưa Toolforge và Cloud VPS xuống, khiến một số phần của Wikipedia ngừng hoạt động hôm thứ Tư. 

Trong lĩnh vực tiền mã hóa, khảo sát MistEye của SlowMist xác định được 793 tên miền có dấu vân tay PHP trực tiếp trong số 1.488 tên miền được đánh giá, đồng thời kêu gọi các sàn giao dịch, nền tảng DeFi và nhà cung cấp ví rà soát mức độ bị ảnh hưởng và nâng cấp. Intersect, tổ chức quản trị của Cardano, đã tạm thời ngừng hoạt động khu vực dành cho thành viên. Giám đốc an ninh của Coinbase, Jeff Lunglhofer, cho biết công ty không tìm thấy bằng chứng nào cho thấy các phiên bản PHP bị lộ: "Mỗi khi nghe tin về những lỗ hổng như thế này, chúng tôi tự động rà soát toàn diện để bảo đảm mọi thứ an toàn nhất có thể. Chúng tôi cũng đang phối hợp với các nhà cung cấp bên thứ ba để có thêm sự đảm bảo." BitGo cho biết nền tảng của họ không bị ảnh hưởng. 

Nhà sáng lập kiêm cựu CEO của Binance, Changpeng Zhao (CZ), hôm thứ Tư cảnh báo người dùng internet hãy "hết sức cẩn trọng" khi truy cập bất kỳ trang web nào trong vài ngày tới, vì một số quản trị viên web có thể chưa cập nhật các bản vá bảo mật mới nhất. OpenAI phát hành một kỹ năng Codex trên GitHub nhằm giúp các đơn vị vận hành kiểm tra những phiên bản PHP dễ bị tấn công và xác định các bản cập nhật phù hợp. Đội ngũ bảo mật PHP cho biết tại thời điểm công bố thông tin công khai, họ chưa xác định được bất kỳ khai thác nào có thể hoạt động.