Hai lỗ hổng nghiêm trọng trong PHP đã có bản vá, người dùng internet không cần quá lo lắng

Cả hai lỗ hổng đều được chấm 9,2/10 theo thang đánh giá CVSS v4.0. Nếu bị khai thác thành công, kẻ tấn công có thể thực thi mã từ xa trên máy chủ web sử dụng PHP mà không cần đăng nhập, tiềm ẩn nguy cơ ảnh hưởng đến hoạt động của website và hệ thống liên quan.

Các lỗ hổng được phát hiện bởi hãng bảo mật Wiz cùng một số nhóm nghiên cứu, với sự hỗ trợ của các công cụ trí tuệ nhân tạo (AI). Thông tin được chuyển cho nhóm phát triển PHP trước khi công bố, tạo điều kiện để xây dựng và phát hành bản sửa lỗi.

Hiệp hội An ninh mạng quốc gia khuyến nghị khẩn trương cập nhật bản vá hai lỗ hổng trong ngôn ngữ lập trình PHP. Ảnh minh họa. 

PHP là ngôn ngữ lập trình được sử dụng rộng rãi để xây dựng website, hệ thống thương mại điện tử, cổng thông tin và các nền tảng quản trị nội dung. Tuy nhiên, mức độ rủi ro đối với từng hệ thống phụ thuộc vào phiên bản đang sử dụng, cấu hình triển khai và các lớp bảo vệ đi kèm.

Việc khai thác các lỗ hổng đòi hỏi kẻ tấn công gửi những yêu cầu được thiết kế đặc biệt và kiểm soát chính xác trạng thái bộ nhớ. Các hệ thống có tường lửa ứng dụng web (WAF) được cấu hình phù hợp có thể hạn chế một số yêu cầu bất thường, qua đó giảm nguy cơ bị khai thác. Dù vậy, WAF không thể thay thế việc cập nhật bản vá và không bảo đảm loại bỏ hoàn toàn rủi ro.

Một số nhà cung cấp dịch vụ lưu trữ web và hạ tầng đám mây đã chủ động cập nhật bản vá cho máy chủ, đồng thời bổ sung quy tắc WAF nhằm hạn chế các phương thức tấn công đã biết. Khách hàng sử dụng dịch vụ hosting nên liên hệ nhà cung cấp để xác nhận phiên bản PHP đang vận hành và tình trạng cập nhật bảo mật.

Đối với các tổ chức, doanh nghiệp tự quản lý máy chủ, việc xử lý cần được thực hiện có hệ thống, bắt đầu từ xác định phạm vi ảnh hưởng đến cập nhật và giám sát sau khi khắc phục.

Doanh nghiệp cũng cần rà soát cấu hình WAF, giới hạn kích thước và số lượng yêu cầu tại máy chủ web hoặc proxy, kiểm tra các giới hạn bộ nhớ của PHP. Những thay đổi về cấu hình cần được kiểm thử trước khi triển khai rộng rãi để tránh gây gián đoạn hoạt động của ứng dụng.

Hai lỗ hổng được đề cập nằm ở phía máy chủ chạy PHP, không trực tiếp nằm trên thiết bị cá nhân hay trình duyệt của người dùng. Vì vậy, người dùng internet thông thường không cần ngừng truy cập website, tìm kiếm thông tin, mua sắm hoặc thực hiện các giao dịch trực tuyến chỉ vì thông tin về hai lỗ hổng này được công bố.

Tuy nhiên, người dùng vẫn cần duy trì các biện pháp bảo mật cơ bản như bật xác thực hai yếu tố cho những tài khoản quan trọng, sử dụng mật khẩu mạnh và riêng biệt cho từng dịch vụ, đồng thời cảnh giác với email, tin nhắn hoặc đường dẫn lạ lợi dụng thông tin về lỗ hổng để lừa đảo, đánh cắp dữ liệu cá nhân và mã xác thực.

VĂN PHONG