NSA cảnh báo hai lỗ hổng nghiêm trọng trong PHP và kêu gọi cập nhật ngay lập tức

Cơ quan An ninh Quốc gia Mỹ (NSA) cảnh báo hai lỗ hổng nghiêm trọng trong ngôn ngữ lập trình PHP có thể cho phép kẻ tấn công thực thi lệnh từ xa và chiếm quyền kiểm soát máy chủ của các trang web và ứng dụng, theo một báo cáo mà Hãng Thông tấn Iraq theo dõi.

Báo cáo cho biết cảnh báo được phát đi vào thứ Tư, xác định hai lỗ hổng với mã (CVE-2026-109618) và (CVE-2026-109619), với mức đánh giá 9.2 trên thang 10, và khẳng định mối nguy nằm trong chính ngôn ngữ PHP chứ không phải trong các tiện ích mở rộng hay hệ quản trị nội dung cụ thể.

Báo cáo cảnh báo rằng việc khai thác hai lỗ hổng này có thể dẫn tới truy cập dữ liệu nhạy cảm như mật khẩu, mã thông báo bảo mật và khóa giao diện lập trình ứng dụng (API), đồng thời có thể cho phép thao túng nội dung trang web và truy cập thông tin người dùng.

Các thử nghiệm an ninh cho thấy khả năng khai thác hai lỗ hổng trên các môi trường chạy sử dụng hệ quản trị nội dung như WordPress, Drupal và Joomla, mặc dù lỗ hổng không nằm trong các hệ thống đó mà ở chính ngôn ngữ lập trình mà chúng dựa vào.

Báo cáo nêu việc phát hiện hai lỗ hổng có sự tham gia của các nhóm nghiên cứu chuyên gia, trong đó có hai công ty Kalif và Weiz, phối hợp với nhóm phát triển PHP và công ty OpenAI, và cho biết các công cụ trí tuệ nhân tạo đã góp phần phân tích lỗi phần mềm và phát hiện các đường dẫn khai thác.

Báo cáo bổ sung rằng một số lỗi gây ra hai lỗ hổng này đã tồn tại hơn mười năm, nhưng độ phức tạp khi khai thác đã ngăn việc phát hiện tính nguy hiểm của chúng sớm hơn.

Nhóm phát triển PHP đã phát hành các bản cập nhật bảo mật khẩn cấp để xử lý hai lỗ hổng, bao gồm các phiên bản 8.5.12, 8.4.27, 8.3.36 và 8.2.35, và báo cáo kêu gọi các tổ chức cùng chủ sở hữu trang web cài đặt các bản cập nhật này ngay lập tức, cảnh báo rằng các biện pháp phòng ngừa tạm thời không đảm bảo an toàn hoàn toàn.