PHP2Shell khiến 32 dịch vụ công tại Anh ngừng hoạt động, chính phủ khẩn cấp vá lỗi

Một đợt ứng phó khẩn cấp với hai lỗ hổng bảo mật nghiêm trọng trong PHP đang làm gián đoạn hàng chục dịch vụ công tại Anh. Phát biểu trước Thượng viện ngày 22/10, Quốc vụ khanh phụ trách công nghệ, Nam tước Lloyd xứ Effra, cho biết 32 dịch vụ chính phủ không thể truy cập và bốn dịch vụ khác chỉ hoạt động một phần.

Theo bà Lloyd, phần lớn tình trạng gián đoạn xuất phát từ biện pháp phòng ngừa: các cơ quan tạm ngừng hệ thống trong lúc cài đặt bản cập nhật bảo mật và triển khai biện pháp giảm thiểu rủi ro. Chính phủ đang phối hợp với các bộ, ngành để khôi phục dịch vụ một cách an toàn sau khi hoàn tất xử lý.

Bà nhấn mạnh rằng chưa ghi nhận trường hợp xâm nhập nào được xác nhận vào hệ thống chính phủ trung ương do các lỗ hổng này. Sau đó, bà mở rộng nhận định trên ra toàn bộ khu vực công của Anh. Vì vậy, việc dịch vụ ngừng hoạt động không đồng nghĩa với việc hệ thống đã bị tin tặc chiếm quyền.

PHP2Shell là tên gọi chung của hai lỗ hổng mang mã CVE-2026-109618 và CVE-2026-109619. CVE là hệ thống mã định danh giúp các nhà cung cấp và chuyên gia bảo mật cùng theo dõi một lỗ hổng cụ thể. Hai lỗi nằm trong PHP, ngôn ngữ lập trình được sử dụng rộng rãi để vận hành trang web và ứng dụng phía máy chủ.

Nếu bị khai thác, chúng có thể cho phép kẻ tấn công chưa đăng nhập thực thi mã trên máy chủ dễ bị ảnh hưởng. Đây là dạng rủi ro thường được gọi là thực thi mã từ xa: đối tượng ở bên ngoài có thể khiến hệ thống chạy những chỉ thị do chúng cung cấp.

Trung tâm An ninh mạng Quốc gia Anh (NCSC) yêu cầu các tổ chức vá lỗi ngay, hoặc cân nhắc tạm ngắt những hệ thống bị ảnh hưởng nếu chưa thể khắc phục. Bản vá là cập nhật phần mềm nhằm sửa lỗ hổng; trong thời gian chờ triển khai, việc đưa hệ thống ngoại tuyến giúp hạn chế khả năng bị tiếp cận và khai thác.

Chính phủ Anh chưa công bố toàn bộ danh sách dịch vụ gián đoạn. Tuy nhiên, Văn phòng Trách nhiệm Ngân sách (OBR), cơ quan giám sát tài khóa độc lập, nằm trong số những đơn vị đã đưa trang web ngoại tuyến. Sự cố diễn ra ngay trước thời điểm công bố ngân sách vào tuần tới.

Tại Thượng viện, các nghị sĩ cũng đề cập những thông tin về gián đoạn liên quan đến Cơ quan Cấp phép Lái xe và Phương tiện (DVLA) cùng các dịch vụ cảnh sát. Nam tước Ludford, thuộc đảng Dân chủ Tự do, nêu thêm các báo cáo về dịch vụ của chính quyền địa phương tại Edinburgh, Oxford, Bristol, Lambeth và Barnet bị ngừng hoạt động.

Bà Ludford đồng thời chất vấn vì sao chính phủ trung ương và chính quyền địa phương vẫn nằm ngoài phạm vi nghĩa vụ pháp lý được đề xuất trong Dự luật An ninh mạng và Khả năng chống chịu, dự kiến trở lại Thượng viện vào thứ Hai.

Anh không phải quốc gia duy nhất chủ động ngắt các trang web để đề phòng. Một số trang của chính phủ Đức, Pháp, Bỉ, Phần Lan và Hà Lan cũng đã được đưa ngoại tuyến, cùng với trang web của cơ quan an ninh mạng Australia.

Tại Mỹ, Cơ quan An ninh Quốc gia (NSA) kêu gọi các tổ chức cài bản vá hoặc ngắt kết nối những hệ thống dễ bị tấn công. Tuy nhiên, chính phủ Mỹ chưa công khai xác nhận có trang web nào bị đóng vì sự cố này.

Áp lực xử lý càng lớn khi AWS, nền tảng điện toán đám mây của Amazon, cho biết kẻ tấn công đã khai thác các lỗ hổng từ bốn ngày trước khi chúng được công bố. Trong khi đó, Cloudflare ghi nhận hàng triệu lượt thử khai thác. Những số liệu này phản ánh mức độ hoạt động tấn công, không đồng nghĩa với hàng triệu vụ xâm nhập thành công.

Theo thông tin được công bố, công ty bảo mật Calif phát hiện một trong hai lỗi PHP bằng mô hình trí tuệ nhân tạo GPT-5.6 Sol của OpenAI. Wiz, công ty bảo mật thuộc Google, cũng độc lập tìm ra cả hai lỗi với sự hỗ trợ của công cụ trí tuệ nhân tạo.

OpenAI sau đó tiếp tục nghiên cứu các lỗ hổng và phối hợp với nhà cung cấp cùng cơ quan chính phủ để thông báo rủi ro. Bà Lloyd cho biết NCSC đã được OpenAI thông tin từ tuần trước và tham gia quá trình công bố có phối hợp — tức trao đổi trước với các bên liên quan để họ có thời gian chuẩn bị biện pháp bảo vệ trước khi chi tiết được công khai.

Chính phủ Anh cũng thiết lập cơ chế ứng phó sự cố liên bộ trước thời điểm công bố. NCSC đã gửi 50.000 cảnh báo tới doanh nghiệp và các tổ chức khác. Trước hoạt động khai thác đã được ghi nhận, ưu tiên hiện nay là khắc phục lỗ hổng và khôi phục dịch vụ mà không để hệ thống tiếp tục phơi nhiễm trước nguy cơ tấn công.