Công cụ AI phơi bày lỗ hổng PHP2Shell nghiêm trọng trong hạ tầng web cũ

Vào cuối tháng 10 năm 2026, các nhà nghiên cứu an ninh mạng đã công bố lỗ hổng PHP2Shell, một khiếm khuyết nghiêm trọng ảnh hưởng đến phần lớn internet, bao gồm NASA, Wikipedia và Nhà Trắng. Phát hiện này có được nhờ phân tích hỗ trợ bởi AI, biến một lỗi bộ nhớ từng bị bỏ qua trước đây thành rủi ro thực thi mã từ xa (remote code execution) nghiêm trọng. Một bản vá đã được phát hành nhanh chóng sau khi PHP Foundation được thông báo, ngăn chặn sự khai thác chủ động của các tác nhân độc hại.

Chuyện gì đã xảy ra

Vấn đề cốt lõi bắt nguồn từ một lỗi được báo cáo cho PHP Foundation từ đầu năm 2024. Lỗi này gây ra các vấn đề hết bộ nhớ (out-of-memory), thường dẫn đến sự cố sập chương trình thay vì vi phạm bảo mật. Vì các sự cố sập thường được xem là vấn đề ổn định hệ thống hơn là mối đe dọa bảo mật, nên lỗi này vẫn chưa được xử lý trong nhiều năm. Nó nằm lẫn trong vô số báo cáo ưu tiên thấp khác, chờ đợi sự chú ý vốn không bao giờ đến do khối lượng khổng lồ của việc bảo trì mã cũ.

Tình hình thay đổi khi Calif, một công ty an ninh mạng được tài trợ bởi OpenAI, tiến hành kiểm toán độc lập PHP. Trong vòng hai tuần, một nhà nghiên cứu sử dụng các công cụ AI đã xác định được phương pháp khai thác điều kiện hết bộ nhớ này. Thay vì chỉ làm sập máy chủ, kỹ thuật khai thác cho phép kẻ tấn công chạy mã tùy ý trên hệ thống host. Sự leo thang này biến một lỗi vô hại thành một lỗ hổng nghiêm trọng có khả năng cài đặt phần mềm độc hại hoặc đánh cắp dữ liệu nhạy cảm. Nhóm nghiên cứu ngay lập tức cảnh báo PHP Foundation, kích hoạt phản ứng khẩn cấp.

Sau khi tiết lộ thông tin, một nhóm gồm bốn kỹ sư đã dành hai tháng để phát triển bản vá toàn diện. Tính cấp bách được thúc đẩy bởi tác động tiềm tàng lên các nền tảng phổ biến như WordPress và Drupal. Mặc dù không có tác nhân xấu nào khai thác lỗ hổng trước khi bản vá được phát hành, sự cố này đã nhấn mạnh cách AI có thể nhanh chóng phát hiện ra những nguy hiểm trong các stack phần mềm cũ mà con người có thể bỏ sót hoặc coi nhẹ.

Cơ chế hoạt động

Việc khai thác lỗ hổng PHP2Shell đòi hỏi sự thao túng chính xác bộ nhớ máy chủ. Kẻ tấn công phải tính toán chính xác cách nhảy đến một vị trí bộ nhớ cụ thể và xác định những bit cần ghi đè theo thứ tự cụ thể để giành quyền kiểm soát hệ thống. Quá trình này liên quan đến suy luận phức tạp và chi tiết, rất tẻ nhạt và dễ mắc lỗi đối với con người. Như Suman Jana, phó giáo sư tại Đại học Columbia, nhận xét, đây không phải là khoa học tên lửa nhưng đòi hỏi các bước logic chi tiết và đau khổ.

Các công cụ AI đã hỗ trợ các nhà nghiên cứu bằng cách xử lý quá trình suy luận phức tạp này. Các mô hình giúp lập sơ đồ bố cục bộ nhớ và xác định chính xác chuỗi các thao tác cần thiết để đạt được mục tiêu thực thi mã từ xa. Điều này không có nghĩa là AI hoạt động đơn lẻ; các nhà nghiên cứu sở hữu chuyên môn sâu về cả an ninh mạng và PHP. Tuy nhiên, AI đã đẩy nhanh quá trình khám phá, cho phép các chuyên gia bỏ qua một số công việc thủ công nặng nhọc liên quan đến việc truy vết các đường dẫn hỏng hóc bộ nhớ.

Quy trình vá lỗi cũng tận dụng các khả năng mới nổi của AI. Theo Jana, các công cụ xác minh hình thức (formal verification tools) mới hiện nay có thể tạo ra các bản vá và thậm chí sản xuất các chứng minh rằng những bản vá đó là đúng đắn. Trong quy trình làm việc này, một LLM tạo ra bản sửa lỗi mã và chứng minh toán học về tính hợp lệ của nó, trong khi một trình kiểm tra hình thức riêng biệt xác minh chứng minh đó. Cách tiếp cận này nhằm giảm bớt sự bất đối xứng giữa việc tìm kiếm lỗi và sửa lỗi, đảm bảo rằng các bản sửa chữa không giới thiệu thêm lỗi mới hoặc làm hỏng chức năng hiện có.

Chi tiết chính

• Lỗ hổng ảnh hưởng đến các trang web lớn bao gồm NASA, Wikipedia và Nhà Trắng, cũng như bất kỳ trang web nào chạy WordPress hoặc Drupal.
• Nguyên nhân gốc rễ là một lỗi hết bộ nhớ được báo cáo vào năm 2024, ban đầu được xử lý như một vấn đề sập hệ thống ưu tiên thấp.
• Công ty an ninh mạng Calif, được tài trợ bởi OpenAI, đã sử dụng các công cụ AI để khám phá kỹ thuật khai thác trong vòng hai tuần kể từ khi bắt đầu kiểm toán.
• Kỹ thuật khai thác cho phép thực thi mã từ xa, giúp kẻ tấn công đọc dữ liệu nhạy cảm hoặc cài đặt phần mềm độc hại trên máy chủ host.
• Một nhóm gồm bốn kỹ sư đã dành hai tháng để phát triển và thử nghiệm bản vá nhằm đảm bảo nó đóng tất cả các vector tấn công mà không làm hỏng chức năng.
• Các công cụ xác minh hình thức đang được tích hợp vào quy trình vá lỗi, với LLM tạo ra cả bản sửa lỗi và chứng minh tính đúng đắn.

Tại sao điều này quan trọng

Sự cố này báo hiệu một sự thay đổi trong bối cảnh mối đe dọa đối với các nhà phát triển duy trì các hệ thống cũ. Trong nhiều thập kỷ, nợ kỹ thuật trong các ngôn ngữ cũ như PHP vẫn có thể quản lý được vì việc khai thác các lỗi bộ nhớ sâu đòi hỏi nỗ lực khổng lồ của con người. AI hạ thấp rào cản đó, cho phép các nhà nghiên cứu có tay nghề tìm thấy và vũ khí hóa các lỗ hổng nhanh hơn nhiều. Điều này có nghĩa là các codebase cũ, bị lãng quên giờ đây phải chịu mức độ giám sát chưa từng có trước đây, biến các vấn đề ổn định nhỏ thành rủi ro bảo mật nghiêm trọng.

Đối với những người xây dựng phần mềm, điều này nhấn mạnh nhu cầu cấp thiết phải giải quyết nợ kỹ thuật. Sự bất đối xứng giữa tấn công và phòng thủ vẫn là một thách thức, đặc biệt đối với các dự án mã nguồn mở có ngân sách hạn chế. Những người phòng thủ giờ đây phải đối mặt với các đối thủ có quyền truy cập vào các trợ lý AI mạnh mẽ. Động lực này tạo áp lực lên các tổ chức để đầu tư vào các thực hành bảo trì tốt hơn và hỗ trợ cơ sở hạ tầng mã nguồn mở mà họ phụ thuộc vào, thay vì giả định rằng sự ẩn danh sẽ bảo vệ họ.

Hơn nữa, vai trò của AI trong cả tấn công và phòng thủ đang trở nên trung tâm. Trong khi AI đẩy nhanh việc khám phá lỗ hổng, nó cũng cung cấp các cách mới để xác minh các bản sửa chữa thông qua các phương pháp hình thức. Tuy nhiên, việc dựa vào các công cụ này đòi hỏi sự giám sát cẩn thận, vì các mô hình có thể gặp ảo giác (hallucinate). Ngành công nghiệp phải thích ứng bằng cách tích hợp xác minh hình thức vào quy trình phát triển và đảm bảo rằng các bản cập nhật bảo mật được áp dụng ngay lập tức, vì sự chậm trễ có thể thảm khốc trong kỷ nguyên mới của khai thác tự động hóa.

Bạn có thể làm gì

• Cập nhật tất cả các hệ thống dựa trên PHP, bao gồm các cài đặt WordPress và Drupal, lên các phiên bản đã vá mới nhất ngay lập tức.
• Ưu tiên giải quyết các báo cáo lỗi cũ liên quan đến lỗi bộ nhớ hoặc sập hệ thống, vì chúng có thể che giấu các lỗ hổng có thể khai thác.
• Đầu tư vào các công cụ xác minh hình thức cho các đường dẫn mã quan trọng để tự động hóa việc xác thực các bản vá bảo mật.
• Giám sát chặt chẽ các khuyến nghị bảo mật từ PHP Foundation và những người duy trì mã nguồn mở khác để biết các tiết lộ mới.
• Phân bổ ngân sách cho các cuộc kiểm toán bảo mật định kỳ của các codebase cũ, có thể tận dụng các dịch vụ thử nghiệm hỗ trợ bởi AI.
• Khuyến khích cài đặt ngay lập tức các bản cập nhật bảo mật trên toàn tổ chức của bạn để thu hẹp cửa sổ phơi nhiễm.