Tin tức thị trường

Phát hiện 2 lỗ hổng bảo mật nghiêm trọng: Hệ thống tài chính ứng phó khẩn cấp

Vietnamfinance
· 8 giờ trước

Ngày 21/10, nhóm phát triển PHP phát hành các bản cập nhật khẩn cấp. Đến ngày 22/10, Reuters đưa tin các nhà cung cấp hạ tầng đám mây ghi nhận số lượng nỗ lực khai thác tăng lên hàng triệu sau khi thông tin về lỗ hổng được công khai. Diễn biến này khiến các doanh nghiệp và cơ quan quản lý tại nhiều quốc gia đẩy nhanh việc rà soát, vá lỗi và hạn chế hoạt động của một số dịch vụ có nguy cơ.

Điều cần nhấn mạnh là lỗ hổng nghiêm trọng không đồng nghĩa hệ thống ngân hàng đã bị xâm nhập, tiền gửi của khách hàng đã gặp nguy hiểm hay thị trường tài chính chắc chắn sẽ gián đoạn. Tác động thực tế phụ thuộc vào hệ thống nào sử dụng phiên bản PHP dễ bị tổn thương, dữ liệu mà máy chủ có thể truy cập và khả năng phòng vệ của từng tổ chức.

Hai lỗ hổng được theo dõi với mã CVE-2026-109618 và CVE-2026-109619, đều có điểm CVSS 4.0 là 9,2/10, có thể dẫn đến thực thi mã từ xa mà không cần xác thực. 

Vì sao một lỗi PHP có thể trở thành rủi ro tài chính?

PHP là ngôn ngữ lập trình phía máy chủ được sử dụng trong nhiều website, cổng thông tin và ứng dụng web. Trong lĩnh vực tài chính, những công nghệ này có thể hiện diện ở website ngân hàng, cổng thanh toán, hệ thống chăm sóc khách hàng, nền tảng quản trị nội bộ, dịch vụ hỗ trợ giao dịch hoặc các phần mềm của bên thứ ba.

Không phải mọi hệ thống giao dịch ngân hàng cốt lõi đều chạy PHP. Tuy nhiên, nếu một thành phần web sử dụng PHP có kết nối tới cơ sở dữ liệu khách hàng, hệ thống xác thực hoặc các dịch vụ nội bộ, việc chiếm quyền máy chủ đó có thể tạo ra một điểm khởi đầu cho cuộc tấn công rộng hơn.

Nếu kẻ tấn công chiếm được tiến trình PHP, chúng có thể tìm cách đọc dữ liệu mà tiến trình được phép truy cập, lấy thông tin cấu hình, thu thập thông tin xác thực hoặc lợi dụng quyền kết nối sẵn có để tiến sâu hơn vào hệ thống.

Điểm quan trọng là lỗ hổng bảo mật PHP không tự động cho phép tin tặc chuyển tiền hoặc vượt qua mọi cơ chế xác thực giao dịch. Muốn thực hiện hành vi đó, kẻ tấn công còn phải tìm được con đường tiếp cận hệ thống, dữ liệu hoặc quyền hạn cần thiết.

Diễn biến tại Nhật Bản cho thấy lĩnh vực tài chính không đứng ngoài vòng ảnh hưởng. Theo Reuters ngày 22/10, các doanh nghiệp gồm công ty chứng khoán Nomura và ngân hàng Mitsubishi UFJ Financial Group đã tạm ngừng một số dịch vụ Internet để thực hiện biện pháp khẩn cấp. Bộ Tài chính Nhật Bản cũng tạm đình chỉ một phần dịch vụ trực tuyến nhằm bảo đảm an toàn. Đây là những động thái phòng ngừa, không đồng nghĩa các đơn vị đã xác nhận bị tấn công thành công.

Ưu tiên số một: Cập nhật PHP ngay lập tức

Hai lỗ hổng được theo dõi với mã CVE-2026-109618 và CVE-2026-109619, đều có điểm CVSS 4.0 là 9,2/10. Cả hai có thể dẫn đến thực thi mã từ xa mà không cần xác thực, nhưng xuất phát từ hai cơ chế lỗi khác nhau.

CVE-2026-109618 liên quan đến lỗi quản lý bộ nhớ khi PHP xử lý tình trạng hết bộ nhớ. Trong một số tình huống, yêu cầu bị ngắt giữa chừng khiến dữ liệu nội bộ chưa được khởi tạo đầy đủ nhưng vẫn bị xử lý trong quá trình dọn dẹp. Điều này có thể dẫn đến hỏng bộ nhớ và tạo cơ hội cho thực thi mã trái phép.

CVE-2026-109619 liên quan đến trạng thái nội bộ còn sót lại sau khi vùng nhớ đã được giải phóng. Một yêu cầu tiếp theo có thể sử dụng trạng thái không còn hợp lệ trước khi PHP khởi tạo lại đầy đủ, tạo điều kiện cho lỗi use-after-free và thực thi mã từ xa.

PHP không phải loại lỗ hổng có thể xử lý triệt để chỉ bằng cách thay đổi một vài thiết lập bảo mật. CERT-EU (Đội Ứng phó Khẩn cấp Máy tính của các tổ chức, cơ quan và văn phòng thuộc Liên minh châu Âu) nhấn mạnh rằng chỉ cập nhật lên phiên bản đã vá mới khắc phục đầy đủ hai lỗi. Các biện pháp hạn chế tạm thời chỉ giảm nguy cơ ở một số đường khai thác cụ thể.

Với ngân hàng và doanh nghiệp tài chính, ưu tiên đầu tiên là kiểm kê tất cả máy chủ PHP, đặc biệt các hệ thống công khai trên Internet và những ứng dụng có kết nối tới dữ liệu khách hàng. Sau khi cập nhật, đội kỹ thuật cần xác minh phiên bản đang thực sự chạy trong PHP-FPM hoặc máy chủ web, thay vì chỉ kiểm tra PHP dòng lệnh.

Nếu chưa thể vá ngay, tổ chức nên cân nhắc cô lập dịch vụ bị ảnh hưởng khỏi mạng công cộng. Các biện pháp như giới hạn kích thước yêu cầu, tắt tính năng liên quan đến đường khai thác đã biết và kiểm soát tài nguyên ở cấp máy chủ có thể giảm rủi ro tạm thời, nhưng không thay thế bản vá. Đây là khuyến cáo được CERT-EU, ENISA (Cơ quan An ninh mạng Liên minh châu Âu) và các cơ quan an ninh mạng đưa ra.

Cục An ninh mạng và Hiệp hội An ninh mạng quốc gia khuyến cáo

Tại Việt Nam, ngày 22/10, Cục An ninh mạng và Hiệp hội An ninh mạng quốc gia thông tin về hai lỗ hổng bảo mật mức độ nghiêm trọng mang mã CVE-2026-109618 và CVE-2026-109619 trên ngôn ngữ lập trình PHP.

Theo nội dung thông báo, ngày 21/10/2026, nhóm phát triển PHP công bố bản phát hành bảo mật cho hai lỗ hổng mức nghiêm trọng. Các lỗ hổng bảo mật PHP đều được chấm 9,2 điểm theo thang CVSS v4.0, thang đo mức độ nghiêm trọng của lỗ hổng, tối đa là 10 điểm. Nếu bị khai thác, kẻ tấn công có thể thực thi mã từ xa trên máy chủ web chạy PHP mà không cần đăng nhập. Lỗ hổng do hãng bảo mật Wiz cùng một số nhóm nghiên cứu phát hiện, với sự hỗ trợ của các công cụ trí tuệ nhân tạo AI, đã được thông báo cho nhóm phát triển PHP trước khi công bố.

Các phiên bản PHP đã được vá gồm 8.5.12, 8.4.27, 8.3.36 và 8.2.35. Với các phiên bản 7.4, 8.0 và 8.1 (đã hết hỗ trợ chính thức), nhóm PHP cung cấp bản sửa ở dạng mã nguồn; nhiều bản phân phối Linux như AlmaLinux, Red Hat, Debian, Ubuntu và các nhà cung cấp dịch vụ hỗ trợ dài hạn đã phát hành gói cập nhật. Các phiên bản cũ hơn (từ 7.3 trở về trước) không được vá và cần được nâng cấp.

Việc khai thác lỗ hổng cũng đòi hỏi phải gửi những yêu cầu được chế tạo đặc biệt và kiểm soát chính xác trạng thái bộ nhớ. Ngoài ra với các hệ thống có tường lửa ứng dụng web (WAF) có khả năng chặc lọc các yêu cầu bất thường nếu được cấu hình tốt cũng giảm đáng kể khả năng bị tấn công. Vì vậy, việc nhận định website PHP nào đang gặp nguy hiểm cần được đánh giá cho từng hệ thống cụ thể.

Hiện nhiều nhà cung cấp dịch vụ lưu trữ web (hosting) và hạ tầng đám mây đã chủ động cập nhật bản vá cho máy chủ và bổ sung quy tắc chặn trên hệ thống WAF để giảm thiểu các hướng tấn công đã biết. Khách hàng thuê dịch vụ hosting nên liên hệ nhà cung cấp để xác nhận phiên bản PHP đang chạy và tình trạng bản vá.

'Việc phát hiện và công bố lỗ hổng là một phần bình thường của hệ sinh thái công nghệ. Điều quan trọng là bản vá đã sẵn sàng, các nhà cung cấp dịch vụ đã bắt đầu ứng phó, các tổ chức có đủ thông tin để hành động. Ưu tiên lúc này là rà soát có hệ thống, vá lỗi đúng thứ tự ưu tiên và giám sát liên tục, thay vì lo lắng quá mức', thông báo nhấn mạnh.

Đối với các tổ chức, doanh nghiệp tự vận hành máy chủ, Cục An ninh mạng và Hiệp hội An ninh mạng quốc gia khuyến cáo thực hiện ngay 4 bước ứng phó:

1. Rà soát toàn bộ hệ thống: Lập danh sách các máy chủ, website, ứng dụng và môi trường (kể cả môi trường thử nghiệm, container, máy chủ ít được quan tâm) có sử dụng PHP, kèm phiên bản đang chạy. Nhiều sự cố xảy ra ở những hệ thống bị lãng quên.

2. Cập nhật bản vá: Nâng cấp lên một trong các phiên bản đã vá nêu trên. Lưu ý dự án PHP không phát hành bản vá cho PHP 8.1 trở về trước vì các nhánh này đã hết vòng đời hỗ trợ. Hệ thống đang chạy các phiên bản này cần được lên kế hoạch nâng cấp lên nhánh còn hỗ trợ, hoặc có biện pháp bảo vệ bổ sung trong thời gian chờ.

3. Giảm thiểu hướng tấn công qua WAF và cấu hình hệ thống: Bật và cập nhật quy tắc WAF, giới hạn kích thước và số lượng yêu cầu ở máy chủ web hoặc proxy, và rà soát các giới hạn bộ nhớ của PHP. Cần kiểm thử kỹ trước khi áp dụng để tránh ảnh hưởng đến hoạt động bình thường của ứng dụng.

4. Tăng cường giám sát nhật ký truy cập: Theo dõi các yêu cầu bất thường, như yêu cầu có dung lượng lớn, tần suất cao, lỗi hết bộ nhớ lặp lại, tiến trình PHP bị dừng đột ngột, hoặc tệp lạ xuất hiện trên máy chủ.