NSA cảnh báo hai lỗ hổng nghiêm trọng trong PHP được phát hiện bằng AI, khuyên gỡ website nếu không thể vá ngay
PHP armageddon: OpenAI, Google’s Wiz find ancient holes, panicking the internet
Tóm tắt nhanh
- NSA hôm qua cảnh báo hai lỗ hổng nghiêm trọng trong PHP và PHP Foundation đã phát hành bản vá; nếu không thể vá ngay, NSA khuyên nên gỡ website khỏi mạng.
- PHP vận hành khoảng 70% website (hơn 33 triệu trang) và được dùng bởi hệ thống quản trị nội dung như WordPress; lỗ hổng cho phép kẻ tấn công truy cập hệ thống file hoặc cơ sở dữ liệu.
- Hai lỗ hổng tồn tại trong mọi phiên bản PHP từ PHP 5 (phát hành 2004) tới các phiên bản cũ hơn, và PHP 8.1 trở về trước hiện không còn được hỗ trợ.
- PHP Foundation khuyến nghị cập nhật lên phiên bản hiện tại là PHP 8.5.12 để được bảo vệ khỏi các lỗi này.
- Các lỗ hổng được phát hiện nhờ AI: Calif (tham gia OpenAI Patch the Planet) dùng GPT‑5.6 Sol, và Wiz dùng Wiz Atlas, Gemini 4 Argon và GPT‑5.6 Sol để tìm ra nhiều lỗ hổng.
- OpenAI và Wiz tuân thủ thực hành nghiên cứu an ninh có trách nhiệm, làm việc với PHP để phát hành bản vá trước khi công bố, và sau đó phối hợp với nhiều bên như Automattic, Akamai, AWS, Cloudflare, Fastly, Imperva, Microsoft và Vercel để thử nghiệm bản vá.
- OpenAI cho biết các lỗ hổng được phát hiện bởi các nhà nghiên cứu trước khi có báo cáo bị khai thác thực tế; TechCrunch nói chưa có báo cáo về exploit trong tự nhiên.
- Wiz cảnh báo AI làm giảm rào cản cho kẻ tấn công vì LLM có thể điều chỉnh exploit cho các phiên bản và cấu hình PHP khác nhau, làm tăng áp lực phải vá hàng chục triệu website kịp thời.
Tóm tắt tự động bằng AI từ bài gốc, có thể có sai sót. Hãy kiểm chứng ở bài gốc.
Trích đoạn bài gốc
This is the kind of security issue that was found and prevented by AI, but is also a high risk because of AI.Tapview chỉ hiển thị tiêu đề, trích đoạn ngắn, tóm tắt và đường dẫn tới bài gốc. Nội dung gốc thuộc bản quyền của TechCrunch.
