OpenAI nhìn lại sự cố lỗ hổng PHP: phối hợp bí mật hai tháng, nhưng bị diễn đàn rò rỉ trước

Động Sát Beating Tin nhanh AI, OpenAI đã đăng bài tổng kết về một chiến dịch vá lỗi bí mật kéo dài hai tháng đằng sau vụ bê bối lỗ hổng PHP. Công ty bảo mật Calif, với sự hỗ trợ của GPT-5.6 Sol, đã phát hiện một lỗ hổng nghiêm trọng trong PHP. Một công ty bảo mật khác là Wiz cũng sử dụng các mô hình như Gemini 4 Argon, GPT-5.6 Sol để độc lập phát hiện và báo cáo hai lỗ hổng. Những vấn đề này đã tồn tại âm thầm ở tầng nền của PHP hơn mười năm, kẻ tấn công có thể không cần đăng nhập mà vẫn kiểm soát được máy chủ của các trang web bị ảnh hưởng, thậm chí đánh cắp mật khẩu và các thông tin nhạy cảm khác.

PHP là nền tảng cho rất nhiều trang web như WordPress, Drupal. Trong hai tháng qua, OpenAI đã đứng ra điều phối các nhà bảo trì PHP, Wiz, Cloudflare và các tổ chức khác, chuẩn bị bản vá và các biện pháp phòng thủ trong điều kiện bảo mật, đồng thời trao đổi với Nhà Trắng và cơ quan an ninh mạng Hoa Kỳ. Việc sửa lỗi thực tế do các nhà bảo trì PHP chủ trì, liên quan đến gần 200 tệp và hơn 10.000 dòng mã.

Ban đầu dự kiến công bố lỗ hổng vào ngày 22 tháng 10, không ngờ ngày 20 đã có người tiết lộ trước trên diễn đàn Hacker News về số hiệu lỗ hổng, mức độ nghiêm trọng và thời gian công bố. Nhóm PHP buộc phải phát cảnh báo sớm và đẩy ngày phát hành bản vá lên sớm một ngày. Cloudflare sau đó xác nhận đã quan sát thấy các nỗ lực tấn công sớm, một số trang web chính phủ ở Hà Lan, Phần Lan và các nước khác cũng chủ động ngừng hoạt động để tránh rủi ro. Mãi đến ngày 21 tháng 10, PHP mới chính thức phát hành phiên bản sửa lỗi, các trang web vẫn cần tự nâng cấp.

OpenAI gọi khoảng thời gian phát hiện sớm và điều phối sửa lỗi này là "cửa sổ của người phòng thủ". Nghiên cứu của Wiz cho thấy, nhờ các mô hình AI tiên tiến, những phương pháp tấn công lỗ hổng phức tạp mà trước đây cần đội ngũ bảo mật hàng đầu mất hàng tháng để phát triển, giờ đây có thể được một nhà nghiên cứu hoàn thành trong một tuần. AI giúp người phòng thủ dễ dàng tìm ra các vấn đề bảo mật ẩn giấu nhiều năm hơn, đồng thời cũng hạ thấp đáng kể ngưỡng kỹ thuật để kẻ tấn công lợi dụng các lỗ hổng này.