"Vui lòng kiểm tra trang chủ công ty của chúng tôi trước"…TIPA phát cảnh báo khẩn cấp về lỗ hổng PHP cho doanh nghiệp vừa và nhỏ

Lỗ hổng bảo mật PHP rung chuyển toàn cầu, cái gọi là sự cố 'PHP2Shell', đang lan rộng đến các doanh nghiệp vừa và nhỏ tại Hàn Quốc. Trung tâm Thông tin và Công nghệ cho Doanh nghiệp Vừa và Nhỏ (TIPA) thuộc Bộ Doanh nghiệp Vừa và Nhỏ và Công nghiệp Khởi nghiệp đã gửi hàng loạt bản tin "Hướng dẫn an toàn thông tin liên quan lỗ hổng bảo mật PHP" cho các doanh nghiệp vừa và nhỏ là thành viên vào ngày 23 tháng này. Bức thư này mà chúng tôi xác nhận được gửi đến các nhân viên công ty vào chiều hôm đó.

Lý do của hướng dẫn là hai lỗ hổng thực thi mã từ xa của PHP (CVE-2026-109618·109619) được công bố bản vá ngày 21 tháng trước. Đây là lỗ hổng xuyên qua chính engine của ngôn ngữ lập trình PHP, được sử dụng bởi khoảng 7 trong 10 trang web, ảnh hưởng đến hầu như tất cả các phiên bản trong khoảng 10 năm qua. Các nỗ lực tấn công thực tế đã được quan sát trước khi công bố bản vá, và Viện Khoa học và Công nghệ Thông tin Hàn Quốc (KISA) đã công bố các quy tắc ứng phó của doanh nghiệp thông qua Bảo vệ Quốc gia vào ngày 22 tháng này.

Lý do các cơ quan chính phủ đặc biệt chỉ định hướng dẫn cho các doanh nghiệp vừa và nhỏ là rõ ràng. Tại Hàn Quốc, PHP được cài đặt rộng rãi trong các công cụ tạo trang web quốc gia như Gnuboard và Rhymix, các trang web công ty dựa trên WordPress, và các cửa hàng trực tuyến nhỏ. Ahnlab đã tính toán khoảng 110.000 tài sản PHP dễ bị tấn công lộ ra trên Internet (ước tính trước khi vá), trong đó có rất nhiều trang web doanh nghiệp vừa và nhỏ không có nhân viên bảo mật chuyên trách. KISA cảnh báo rằng nếu tấn công thành công, "có thể cài đặt tập tin điều khiển từ xa (webshell), rò rỉ thông tin khách hàng, sửa đổi trang web, và thậm chí xâm nhập vào mạng nội bộ".

Cốt lõi của các quy tắc ứng phó là bốn điểm. Trước tiên, kiểm tra xem công ty có sử dụng PHP trên trang chủ công ty và hệ thống nội bộ hay không và phiên bản nào, sau đó cập nhật lên phiên bản vá (8.5.12, 8.4.27, 8.3.36, 8.2.35) và nhất định phải khởi động lại dịch vụ. KISA nhấn mạnh rằng "nếu không khởi động lại, phiên bản cũ còn sót lại trong bộ nhớ sẽ tiếp tục hoạt động và vẫn còn dễ bị tấn công". Các phiên bản PHP 8.1 trở xuống mà hỗ trợ đã kết thúc phải được chuyển sang các phiên bản được hỗ trợ, và trong trường hợp cập nhật ngay lập tức gặp khó khăn, hãy áp dụng các biện pháp giảm nhẹ tạm thời như vô hiệu hóa chức năng tải lên.

Các công ty lưu trữ chính như Cafe24 và Gabia đã thông báo rằng chúng đã hoàn thành vá máy chủ. Cuối cùng, vùng mù là những trang web hoạt động trên máy chủ riêng bên ngoài lưu trữ hoặc những trang web được tạo ra nhưng không được quản lý. Các chuyên gia trong ngành bảo mật đồng tình rằng "điều cần kiểm tra ngay bây giờ không phải là một giải pháp bảo mật lớn lao nào, mà là phiên bản PHP của trang chủ công ty của chúng ta". Suwon Ilbo đã trước đó báo cáo toàn bộ chi tiết của sự cố này theo trình tự thời gian.