• Ngày 21 tháng 10, CZ cảnh báo người dùng hết sức thận trọng khi truy cập các trang web sau khi hai lỗ hổng PHP bị rò rỉ trước thời điểm công bố.
• PHP Foundation đã phát hành các bản vá cho CVE-2026-109618 và CVE-2026-109619 vào ngày 21 tháng 10; cả hai được chấm điểm 9,2.
• Cloudflare ghi nhận các nỗ lực tấn công lên đến hàng triệu, sau khi đạt hàng trăm nghìn chỉ trong vòng hai giờ kể từ lúc công bố lỗ hổng.
Coinbase và BitGo báo cáo không bị ảnh hưởng
Các nỗ lực tấn công nhắm vào những lỗ hổng PHP vừa được công bố đã lên đến hàng triệu, và các công ty tiền mã hóa lớn nhất đã đăng thông báo vào ngày 22 tháng 10 về việc hệ thống của họ có bị ảnh hưởng hay không. Theo Coinreaders, Coinbase (COIN) và BitGo đều cho biết không có bằng chứng cho thấy cơ sở hạ tầng của họ bị lộ. Binance cho biết họ đã áp dụng các biện pháp bảo vệ trước khi bản vá bảo mật chính thức được phát hành và đã hoàn tất các bước ứng phó mà họ cho là cần thiết. Tại thời điểm đưa tin, chưa ghi nhận vụ xâm nhập nào vào công ty tiền mã hóa hay tổn thất nào đối với tiền của người dùng. Đồng sáng lập Binance Changpeng Zhao, được biết đến trong toàn ngành với tên gọi CZ, cảnh báo người dùng cần hết sức thận trọng khi truy cập bất kỳ trang web nào trong những ngày tới. Ông lo ngại rằng một trang web chậm cài đặt bản vá có thể trở thành kênh đánh cắp thông tin đăng nhập hoặc tấn công thiết bị của khách truy cập. Nhóm lỗ hổng ở tâm điểm cảnh báo cho phép kẻ tấn công thực thi mã trên máy chủ mà không cần đăng nhập trước. Nhóm phát triển PHP đã phát hành phiên bản đã khắc phục vào ngày 21 tháng 10, nhưng từng đơn vị vận hành trang web phải tự cài đặt bản cập nhật. Số liệu về cơ sở hạ tầng cho thấy quy mô hoạt động quét: Cloudflare ghi nhận số nỗ lực tấn công tăng lên hàng trăm nghìn chỉ trong vòng hai giờ sau khi lỗ hổng được công bố, rồi lên đến hàng triệu sau đó. Amazon cho biết họ đã quan sát thấy các nỗ lực tấn công từ sớm nhất là ngày 17 tháng 10, trước khi các lỗ hổng được công khai. Một vấn đề riêng liên quan đến chứng chỉ cũng xuất hiện tại cơ quan cấp chứng chỉ eMudhra của Ấn Độ, nơi tám chứng chỉ trung gian sử dụng khóa riêng yếu bất thường; sự kết hợp này có thể cho phép kẻ tấn công làm giả chứng chỉ để mạo danh các sàn giao dịch. Các trình duyệt đã bắt đầu chặn những chứng chỉ này, dù các chương trình giao dịch tự quản lý danh sách chứng chỉ riêng có thể không chặn. Lightning Labs yêu cầu người dùng phần mềm Bitcoin và Lightning Network của họ cập nhật ngay lập tức. Hướng dẫn thực tế được phổ biến cùng với cảnh báo khuyên người dùng chỉ truy cập sàn giao dịch thông qua các trang web chính thức đã lưu dấu trang, không tin các cửa sổ bật lên hối thúc cập nhật và đối chiếu từng địa chỉ nạp tiền với địa chỉ đã lưu trước khi gửi.
CVE-2026-109618 và CVE-2026-109619
Cảnh báo này xuất phát từ hai lỗ hổng nghiêm trọng trong PHP, ngôn ngữ máy chủ đứng sau một phần lớn các trang web, bao gồm mọi trang WordPress. Cả hai lỗ hổng đều được khắc phục trong một bản phát hành bảo mật khẩn cấp vào ngày 21 tháng 10, sau khi thông tin chi tiết bị rò rỉ trước thời điểm công bố dự kiến. Các lỗ hổng được ghi nhận với mã CVE-2026-109618 và CVE-2026-109619, và kẻ tấn công không cần đăng nhập để khai thác chúng. Ngày 21 tháng 10, CZ viết trên X rằng mọi người có thể cho ông là hoang tưởng, nhưng họ nên hết sức thận trọng khi truy cập bất kỳ trang web nào trong những ngày tới, vì một số đơn vị vận hành trang web không phải lúc nào cũng cập nhật hệ thống bảo mật. Ông nói thêm rằng việc khai thác hai lỗ hổng đã được xác nhận trên thực tế ngay sau khi thông tin được công bố. Bản tường thuật về đợt phát hành của chính PHP Foundation có một điểm khác biệt. Tuyên bố của tổ chức cho biết các mã CVE bắt đầu lan truyền trên mạng vào ngày 20 tháng 10, kèm theo ngày phát hành sai và mức độ nghiêm trọng được công bố là 10 trên 10, trong khi điểm số thực tế là 9,2. Calif, một trong các bên báo cáo những lỗ hổng này, đã vô tình đăng một video giải thích cách khai thác; Chainguard thì phát hành các bản dựng đã sửa lỗi sớm hơn thời điểm thống nhất hơn sáu tiếng. Foundation cho biết họ không ghi nhận vụ khai thác thực tế nào trước khi bản cập nhật được phát hành, trái với nhận xét sau đó của CZ. Các cơ quan an ninh mạng chính phủ cũng hành động song song. NSA khuyến nghị người dùng PHP chuẩn bị cập nhật và ngắt kết nối các hệ thống bị ảnh hưởng nếu chưa thể vá ngay. Bộ phận An ninh mạng của FBI nhắc lại khuyến nghị này, đồng thời yêu cầu các đơn vị vận hành chú ý đến những tiến trình PHP bất ngờ mở các lệnh hệ thống. Trong số các nền tảng tiền mã hóa, Nina Rong của BNB Chain xác nhận bản thân mạng lưới không chạy PHP. PancakeSwap, sàn DEX lớn trên BNB Chain, cho biết cơ sở hạ tầng của họ không sử dụng PHP và tiền của người dùng vẫn an toàn. CZ đăng lại tuyên bố đó và bình luận rằng hầu hết các dự án nên ít nhất đưa ra một xác nhận tương tự.
Rò rỉ trước khi có bản vá
Ghi chú phát hành của PHP Foundation, tài liệu chính trong câu chuyện này, xác định chính xác khoảng thời gian rủi ro: thông tin chi tiết về lỗ hổng được chia sẻ trên mạng vào ngày 20 tháng 10 và bản sửa lỗi được phát hành vào ngày 21 tháng 10, nghĩa là các máy chủ chưa được vá đã phải đối mặt khoảng một ngày với hướng dẫn khai thác khả thi được công khai. Sự chênh lệch giữa mức độ nghiêm trọng được công bố là 10 và điểm số thực tế 9,2, cùng việc một nhà cung cấp phát hành các bản dựng đã sửa lỗi sớm hơn sáu tiếng, đều cho thấy quy trình công bố lỗ hổng phối hợp đang chịu áp lực rõ rệt, chứ không phải một chu kỳ vá lỗi thông thường. Với người dùng tiền mã hóa, phạm vi rủi ro còn lại hẹp hơn những gì các tiêu đề báo chí gợi ý: chưa có vụ xâm nhập sàn giao dịch hay thất thoát tiền của người dùng nào được xác nhận. Rủi ro thực tế là địa chỉ nhận có thể bị thay thế trên một trang web bị xâm nhập; ví phần cứng tuy hiển thị địa chỉ gửi nhưng không thể xác định liệu một trang web bị hack có hiển thị địa chỉ giả hay không.