Thế giới Internet đang đối mặt với nguy cơ gián đoạn diện rộng khi một cặp lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trong PHP, ngôn ngữ lập trình cốt lõi của các hệ quản trị nội dung phổ biến như WordPress, Joomla, Drupal và Magento. Các chuyên gia cảnh báo rằng kẻ tấn công có thể tận dụng những lỗi này để chiếm quyền kiểm soát hoàn toàn máy chủ bị ảnh hưởng. Hiện tại, các mã khai thác đã xuất hiện và những lỗ hổng này đang bị lợi dụng tích cực trên môi trường mạng.
Theo báo cáo từ Reuters, nhiều website chính phủ tại Châu Âu và một số khu vực khác đã phải tạm ngừng hoạt động sau khi thông tin về lỗ hổng được công bố. Cloudflare cho biết họ đã phát hiện các nỗ lực khai thác thực tế. Vào lúc 3:02 sáng (giờ UTC), đơn vị này đã triển khai các quy tắc tường lửa ứng dụng web (WAF) để bảo vệ khách hàng khỏi lưu lượng tấn công có thể gây từ chối dịch vụ (DoS), thực thi mã từ xa và lộ lọt dữ liệu.
OpenAI, đơn vị tham gia nghiên cứu và ứng phó sự cố, nhận định: "Với tính chất nghiêm trọng và sự phổ biến của PHP, chúng tôi coi đây là một trong những vấn đề an ninh mạng có tác động lớn nhất trong những năm gần đây". Dữ liệu từ công ty theo dõi hạ tầng Internet Censys ghi nhận khoảng 2,58 triệu máy chủ công khai và 54,9 triệu tài sản web đang vận hành trên nền tảng PHP.
Các nhà nghiên cứu tại Wiz cho biết mọi phiên bản PHP được phát hành trong thập kỷ qua đều bị ảnh hưởng bởi ít nhất một trong hai lỗ hổng này. Theo Wiz, các lỗi nền tảng đã tồn tại hàng chục năm nhưng rất khó khai thác do đòi hỏi một chuỗi các bước phức tạp. Tuy nhiên, sự xuất hiện của các mô hình AI tiên tiến (Frontier AI) đã hạ thấp rào cản này, biến các lỗi tồn đọng lâu năm thành các lỗ hổng có thể bị khai thác dễ dàng.
Hai lỗ hổng zero-day này được định danh mã lỗi là CVE-2026-109618 và CVE-2026-109619, tác động đến tất cả các máy chủ chạy PHP phiên bản 5.4 trở lên. Đội ngũ phát triển PHP đã phát hành các bản cập nhật khẩn cấp để vá lỗi trong các phiên bản: 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Các chuyên gia dự báo kẻ tấn công sẽ tiến hành khai thác hàng loạt để cài đặt "web shell", tạo bảng điều khiển từ xa nhằm kiểm soát các trang web bị lây nhiễm.
Sự cố này được so sánh với lỗ hổng Log4Shell năm 2021 do tính chất bám rễ sâu của PHP trong hệ sinh thái web, khiến việc vá lỗi triệt để trên quy mô toàn cầu sẽ mất nhiều thời gian. Hiện tại, SANS Internet Storm Center đang theo dõi sát sao các nền tảng phần mềm lớn để cập nhật tình hình. Ubuntu đã phát hành các gói PHP cập nhật, trong khi công ty công nghệ Calif cũng đã công bố các phân tích kỹ thuật chi tiết về quy trình phát hiện và xử lý các lỗ hổng này.
