PHP lộ lỗ hổng nghiêm trọng, Foundation nói đã biết vấn đề từ 2 năm trước

Tóm tắt nhanh

• Theo post-mortem của PHP Foundation, nhóm duy trì nhỏ đã biết về lỗi này từ hai năm trước nhưng chưa xem là đáng lo, rồi nhiều lần tranh luận cách sửa mà vẫn giữ tương thích với extension bên thứ ba.
• Lỗ hổng nằm trong cơ chế xử lý lỗi của PHP và có thể bị khai thác để thực thi mã từ xa, như chuỗi khai thác PHP2Shell đang nhắm vào các máy chủ.
• Tom's Hardware cho biết PHP đang chạy trên khoảng 70% website trên internet, nên tác động của lỗ hổng rất rộng.
• Tình hình tệ hơn vì 73% bản cài PHP trực tuyến đang dùng các phiên bản đã hết vòng đời, không còn được hỗ trợ tích cực.
• Khung khai thác không hề đơn giản vì kẻ tấn công phải biết chính xác phiên bản và bản build PHP, nhưng vẫn đủ nguy hiểm do số lượng máy chủ bị ảnh hưởng lên tới hàng chục triệu.
• Nguyên nhân kỹ thuật được mô tả là khi PHP hết bộ nhớ và dùng longjmp(), dữ liệu dang dở có thể còn lại trong heap rồi bị cơ chế dọn dẹp xử lý sai.
• Sau khi lỗ hổng bị công khai, nhiều quản trị viên đã tắt hiển thị số phiên bản PHP để giảm thông tin cho tin tặc.
• PHP Foundation thừa nhận đã mắc sai lầm trong quản trị, nhưng tổ chức này chỉ có một nhân viên toàn thời gian và 14 cộng tác viên bán thời gian để duy trì dự án.
• Bản vá hiện tại chỉ cần cập nhật point release và có thể phải khởi động lại một số dịch vụ; các nhánh đang được duy trì là PHP 8.1 đến 8.5.
• Những hệ thống còn kẹt ở PHP 7 gặp khó vì phải chờ cập nhật từ bản phân phối Linux hoặc kho cộng đồng, trong khi việc chuyển từ PHP 7.4 lên 8.0 từng đòi hỏi chỉnh sửa mã do thay đổi ngôn ngữ.

Tóm tắt tự động bằng AI từ bài gốc, có thể có sai sót. Hãy kiểm chứng ở bài gốc.