AI phát hiện lỗ hổng nghiêm trọng trong PHP, châm ngòi tranh cãi về quy trình công bố

Vào ngày 21 tháng 10 năm 2026, dự án PHP đã phát hành các bản sửa lỗi khẩn cấp cho hai lỗ hổng bảo mật nghiêm trọng, khiến nhiều nhà vận hành website phải tạm ngừng dịch vụ. Sự cố này, được gọi là PHP2Shell, liên quan đến các lỗ hổng CVE-2026-109618 và CVE-2026-109619, cho phép thực thi mã từ xa. Trong khi các bản vá kỹ thuật mang tính cấp bách, sự kiện này đã khơi mào một cuộc tranh luận gay gắt về quy trình công bố lỗ hổng có phối hợp (coordinated vulnerability disclosure) trong kỷ nguyên mà AI thúc đẩy tốc độ phát triển khai thác lỗ hổng.

Chuyện gì đã xảy ra

Các lỗ hổng này ảnh hưởng đến các phiên bản PHP đang chạy khoảng 70% số lượng website trên toàn cầu. Tổ chức PHP Foundation đã phát hành các phiên bản sửa lỗi cho các nhánh 8.2.35, 8.3.36, 8.4.27 và 8.5.12. Người dùng trên các phiên bản cũ không còn được hỗ trợ bắt buộc phải nâng cấp hoặc dựa vào các bản backport từ nhà phân phối. WordPress đã khuyến cáo chủ sở hữu trang web cập nhật cài đặt PHP của họ, làm rõ rằng các lỗ hổng nằm ở chính ngôn ngữ lập trình chứ không phải trong ứng dụng WordPress.

Quá trình phát hiện lỗ hổng nhấn mạnh vai trò ngày càng tăng của trí tuệ nhân tạo trong nghiên cứu bảo mật. Công ty an ninh Calif, tham gia sáng kiến Patch the Planet của OpenAI, đã sử dụng GPT-5.6 Sol để xác định con đường dẫn đến thực thi mã từ xa và báo cáo vấn đề này vào ngày 11 tháng 8. OpenAI độc lập báo cáo cùng vấn đề đó vào cùng ngày, tiếp theo là Wiz vào ngày 24 tháng 8. Mặc dù các người duy trì PHP đã nhận thấy dấu hiệu của một vấn đề thiếu bộ nhớ (out-of-memory) tiềm ẩn trong một đợt kiểm toán năm 2024, họ chưa có lộ trình khai thác cụ thể cho đến khi các báo cáo do AI hỗ trợ này làm rõ mức độ nghiêm trọng.

Một cuộc tranh chấp nổ ra khi Chainguard, một công ty bảo mật chuỗi cung ứng phần mềm, phát hành các hình ảnh container đã được vá hơn sáu giờ trước thời điểm công bố phối hợp. CEO của Chainguard, Dan Lorenc, tuyên bố ông đã phá vỡ lệnh cấm tiết lộ thông tin (embargo) do có các báo cáo về hoạt động khai thác thực tế và rò rỉ chi tiết. PHP Foundation chỉ trích động thái đơn phương này, lập luận rằng nó đã cho kẻ tấn công thời gian để nghiên cứu bản vá trong khi những người dùng khác vẫn dễ bị tổn thương. Lorenc đã xin lỗi vì áp lực gây ra nhưng khẳng định việc bảo vệ người dùng là ưu tiên hàng đầu.

Cơ chế hoạt động

Vấn đề kỹ thuật cốt lõi liên quan đến điều kiện thiếu bộ nhớ có thể bị thao túng để đạt được mục đích thực thi mã từ xa. Loại lỗ hổng này cho phép kẻ tấn công chạy các lệnh tùy ý trên máy chủ lưu trữ ứng dụng PHP. Lỗ hổng đặc biệt nguy hiểm do tính phổ biến của PHP; như Moshe Siman Tov Bustan từ OX Security đã chỉ ra, bất kỳ instance PHP nào có thể truy cập công khai đều có khả năng bị xâm phạm.

Cuộc tranh luận xoay quanh cơ chế của quy trình công bố lỗ hổng có phối hợp. Thông thường, các nhà cung cấp đồng ý với một giai đoạn cấm tiết lộ thông tin để chuẩn bị bản vá đồng loạt. Tuy nhiên, các mô hình AI hiện nay có khả năng tìm kiếm và xác minh các phương thức khai thác rất nhanh chóng. Hệ thống thử nghiệm của Chainguard, sử dụng một mô hình AI tiên tiến, đã độc lập tái phát hiện vấn đề này. Khi Lorenc nhận được các báo cáo về khả năng khai thác trực tiếp và thấy video chứng minh khái niệm (proof-of-concept) bị rò rỉ trên mạng, ông quyết định rằng rủi ro của việc chờ đợi lớn hơn lợi ích của sự phối hợp. Ông đã công khai bản vá để đảm bảo quyền truy cập ngay lập tức, bỏ qua giao thức cấm tiết lộ thông tin tiêu chuẩn.

Chi tiết chính

• Các lỗ hổng được xác định là CVE-2026-109618 và CVE-2026-109619.
• Các phiên bản PHP đã được sửa lỗi gồm 8.2.35, 8.3.36, 8.4.27 và 8.5.12.
• Chainguard đã phát hành các hình ảnh đã vá sớm, viện dẫn bằng chứng về hoạt động khai thác đang diễn ra.
• PHP Foundation gọi sự chậm trễ trong việc khắc phục vấn đề được xác định từ năm 2024 là một "thất bại mang tính cấu trúc".
• Amazon Threat Intelligence đã phát hiện các nỗ lực khai thác nhắm vào honeypot bắt đầu từ ngày 17 tháng 10.
• Các mô hình AI như GPT-5.6 Sol đóng vai trò then chốt trong việc phát hiện và xác minh các lỗ hổng.

Tại sao điều này quan trọng

Đối với các kỹ sư phần mềm và lãnh đạo IT, sự cố này nhấn mạnh rằng các cửa sổ bảo trì truyền thống có thể không còn đủ đáp ứng cho hạ tầng trọng yếu. Tốc độ mà AI có thể khám phá và vũ khí hóa các lỗ hổng đồng nghĩa với việc khoảng thời gian giữa lúc phát hiện và lúc bị khai thác đang thu hẹp lại. Các tổ chức phải sẵn sàng triển khai bản vá ngay lập tức, thậm chí ngoài lịch trình bình thường, để giảm thiểu rủi ro từ các phụ thuộc được sử dụng rộng rãi như PHP.

Cuộc tranh chấp cũng làm nổi bật sự mong manh của các mô hình bảo mật mã nguồn mở hiện tại. PHP Foundation thừa nhận rằng các ràng buộc về nguồn lực và những đánh đổi phức tạp đã làm chậm trễ việc khắc phục một vấn đề đã biết. Khi AI hạ thấp rào cản tìm kiếm lỗi, gánh nặng đối với những người duy trì dự án tăng lên. Nếu không có thêm tài trợ và hỗ trợ từ các công ty và chính phủ phụ thuộc vào phần mềm này, những thất bại mang tính cấu trúc tương tự rất có thể sẽ lặp lại, để lại hệ sinh thái web dễ bị tổn thương trước các mối đe dọa quy mô internet.

Bạn có thể làm gì

• Cập nhật cài đặt PHP của bạn lên phiên bản 8.2.35, 8.3.36, 8.4.27 hoặc 8.5.12 ngay lập tức.
• Nếu bạn sử dụng một nhánh PHP không còn được hỗ trợ, hãy lên kế hoạch nâng cấp hoặc áp dụng các bản backport từ nhà phân phối.
• Xem xét nhật ký máy chủ để tìm các hoạt động đáng ngờ kể từ ngày 17 tháng 10 năm 2026.
• Giả định rằng hệ thống đã bị xâm phạm nếu bạn tìm thấy bằng chứng về khai thác trên các hệ thống chưa được vá.
• Hợp tác với các nhà cung cấp uy tín như Red Hat hoặc Canonical để lấy các bản vá đã được xác minh.
• Vận động sự hỗ trợ của tổ chức dành cho các dự án mã nguồn mở trọng yếu mà bạn phụ thuộc vào.