CISA yêu cầu các cơ quan liên bang vá lỗ hổng PHP2Shell đang bị khai thác trong vòng ba ngày

Cơ quan An ninh Mạng và An ninh Hạ tầng Hoa Kỳ (CISA) đã xác nhận rằng các nhóm đe dọa đang tích cực khai thác hai lỗ hổng nghiêm trọng trong ngôn ngữ lập trình PHP. Để ứng phó, cơ quan này đã ban hành một chỉ thị bắt buộc, yêu cầu tất cả các cơ quan dân sự thuộc chính phủ liên bang phải vá lỗi cho hệ thống của họ trong vòng ba ngày.

Chỉ thị khẩn cấp này được đưa ra chưa đầy một tuần sau khi những người bảo trì PHP phát hành các bản cập nhật bảo mật để khắc phục các lỗi này. Việc xác nhận tình trạng khai thác thực tế đã chuyển biến tình hình từ một rủi ro lý thuyết thành mối đe dọa hoạt động tức thì đối với hàng triệu máy chủ trên toàn thế giới.

Chuyện gì đã xảy ra

Các lỗ hổng, được gọi chung là PHP2Shell, cho phép kẻ tấn công thực thi mã từ xa trên các máy chủ dễ bị tổn thương mà không cần xác thực. Điều này có nghĩa là bất kỳ hệ thống nào kết nối internet chạy phiên bản PHP chưa được vá đều có nguy cơ bị xâm nhập chỉ bằng cách nhận một yêu cầu độc hại. Chỉ thị của CISA nhấn mạnh mức độ nghiêm trọng của vấn đề, buộc các thực thể chính phủ phải ưu tiên xử lý lỗi này hơn các công việc bảo trì hoặc phát triển đã lên lịch khác.

Con đường dẫn đến cuộc khủng hoảng này bắt đầu từ hai năm trước khi các nhà nghiên cứu lần đầu tiên xác định được các lỗi. Vào thời điểm đó, tổ chức phi lợi nhuận chịu trách nhiệm bảo trì PHP đã xác định rằng không có phương pháp thực tế nào để kẻ tấn công khai thác các lỗi này. Do đó, các vấn đề vẫn chưa được vá trong khi phần mềm tiếp tục phát triển. Tuy nhiên, vào đầu năm nay, các nhà nghiên cứu tại công ty bảo mật Calif đã chứng minh rằng những tiến bộ trong trí tuệ nhân tạo có thể liên kết các lỗ hổng tiềm ẩn này lại với nhau, tạo ra một kỹ thuật khai thác hoạt động được.

Bây giờ, khi rào cản gia nhập đã được hạ thấp nhờ sự khám phá hỗ trợ bởi AI, cửa sổ phòng thủ đã đóng lại nhanh chóng. Mặc dù CISA không xác định cụ thể các nhóm đứng sau các cuộc tấn công hiện tại, nhưng việc xác nhận tình trạng khai thác trong thực tế cho thấy các máy quét tự động có khả năng đang săn lùng các trường hợp dễ bị tổn thương trên khắp internet toàn cầu. Việc sử dụng rộng rãi PHP, vốn cung cấp năng lượng cho khoảng 70% máy chủ hướng web, đồng nghĩa với bề mặt tấn công tiềm tàng là rất lớn.

Chi tiết chính

• CISA đã ra lệnh cho các cơ quan dân sự liên bang Hoa Kỳ áp dụng các bản vá trong vòng ba ngày kể từ khi thông báo.
• Các lỗ hổng, được biết đến với tên gọi PHP2Shell, cho phép thực thi mã từ xa mà không cần mật khẩu.
• PHP được sử dụng bởi khoảng 70% máy chủ hướng web, khiến vô số trang web gặp rủi ro.
• Các lỗi này được phát hiện hai năm trước nhưng được coi là không thể khai thác cho đến khi sự hỗ trợ của AI thay đổi cục diện.
• Các nhà nghiên cứu tại công ty Calif đã phát triển kỹ thuật khai thác hoạt động được vào đầu năm nay bằng cách sử dụng các mô hình AI.
• Một số chính phủ và công ty lớn đã tạm thời đưa các trang web ngoại tuyến để áp dụng các bản vá một cách an toàn.

Bối cảnh

PHP là một ngôn ngữ kịch bản phía máy chủ, đã trở thành nền tảng của phát triển web trong nhiều thập kỷ. Nó cung cấp năng lượng cho các hệ thống quản lý nội dung lớn, nền tảng thương mại điện tử và các ứng dụng doanh nghiệp tùy chỉnh. Vì nó là mã nguồn mở và được hỗ trợ rộng rãi, PHP đã trở thành lựa chọn mặc định cho nhiều nhà phát triển xây dựng các trang web động. Tuy nhiên, tuổi đời và sự phổ biến của nó có nghĩa là nhiều cài đặt là các hệ thống cũ có thể không được cập nhật thường xuyên.

Vai trò của AI trong sự cố này làm nổi bật một sự thay đổi mô thức trong an ninh mạng. Theo truyền thống, việc tìm kiếm các chuỗi khai thác phức tạp đòi hỏi nỗ lực và thời gian đáng kể của con người. Các mô hình AI hiện đại giờ đây có thể phân tích các mã nguồn để xác định những tương tác tinh vi giữa các lỗi khác nhau mà con người có thể bỏ sót. Khả năng này biến các lỗ hổng tiềm ẩn, rủi ro thấp trước đây thành các mối đe dọa nghiêm trọng gần như qua đêm, giảm thời gian phản ứng của các tổ chức từ vài tháng xuống còn vài ngày.

Tại sao điều này quan trọng

Đối với các đội ngũ quản lý cơ sở hạ tầng tự lưu trữ, sự cố này là lời nhắc nhở rõ ràng rằng "rủi ro thấp" không có nghĩa là "không có rủi ro". Các lỗ hổng từng được coi là lý thuyết có thể trở thành vũ khí thực tế do những tiến bộ công nghệ bên ngoài. Nếu tổ chức của bạn chạy các ứng dụng dựa trên PHP, bạn nằm trong nhóm 70% máy chủ hướng web có thể đang bị nhắm mục tiêu. Việc trì hoãn các bản vá dựa trên đánh giá trước đây về độ khó khai thác không còn là một chiến lược khả thi.

Tốc độ phản ứng cần thiết ở đây cũng ảnh hưởng đến kế hoạch vận hành. Thời hạn ba ngày dành cho các cơ quan liên bang đặt ra tiền lệ về tốc độ mà cơ sở hạ tầng quan trọng phải phản ứng. Đối với các công ty tư nhân, đặc biệt là những đơn vị xử lý dữ liệu nhạy cảm, kỳ vọng từ khách hàng và đối tác sẽ tương tự. Việc không vá lỗi kịp thời có thể dẫn đến rò rỉ dữ liệu, gián đoạn dịch vụ và thiệt hại về danh tiếng vượt xa chi phí bảo trì khẩn cấp.

Hơn nữa, sự kiện này làm nổi bật sự mong manh của các dự án mã nguồn mở thiếu kinh phí. Nhiều công nghệ internet quan trọng phụ thuộc vào những người bảo trì tình nguyện hoặc có nguồn lực hạn chế, những người không đủ khả năng tài chính cho các cuộc kiểm toán bảo mật sâu và liên tục. Các tổ chức phụ thuộc vào những công cụ này phải chịu trách nhiệm lớn hơn đối với tư thế bảo mật của chính mình, bao gồm giám sát các mối đe dọa mới nổi và duy trì khả năng triển khai các bản vá nhanh chóng.

Bạn có thể làm gì

• Kiểm kê tất cả các máy chủ và ứng dụng chạy PHP để xác định phiên bản nào đang được sử dụng.
• Áp dụng ngay lập tức các bản vá bảo mật mới nhất do những người bảo trì PHP phát hành cho tất cả các hệ thống hướng internet.
• Nếu không thể vá lỗi ngay lập tức, hãy cân nhắc đưa các dịch vụ bị ảnh hưởng ngoại tuyến hoặc đặt chúng phía sau tường lửa ứng dụng web có thể chặn các mẫu khai thác đã biết.
• Xem xét nhật ký để tìm bất kỳ hoạt động bất thường hoặc nỗ lực truy cập trái phép nào có thể chỉ ra sự xâm nhập trước đó.
• Cập nhật kế hoạch phản ứng sự cố của bạn để tính đến các chu kỳ vá lỗi nhanh chóng do các kỹ thuật khai thác được phát hiện bởi AI thúc đẩy.
• Đăng ký theo dõi các thông báo bảo mật từ CISA và dự án PHP để nhận các cảnh báo trong tương lai ngay khi chúng được công bố.