Nhiều trang web của chính phủ ngừng hoạt động do lỗ hổng nhu liệu gây trở ngại bảo mật -

Vào thứ Tư, ngày 21 tháng 10 năm 2026, các trang web của nhiều chính phủ tại Châu Âu và các khu vực khác đã đồng loạt ngừng hoạt động. Động thái này diễn ra sau khi các chuyên gia công bố về các lỗ hổng nghiêm trọng trong PHP, một ngôn ngữ lập trình được sử dụng vô cùng rộng rãi để vận hành trang web.

Những lỗ hổng này nguy hiểm như thế nào?

Nhóm phát triển PHP cho biết họ đã phát hiện hai lỗ hổng nghiêm trọng cho phép kẻ tấn công thực thi mã từ xa mà không cần xác thực, có mã định danh là CVE-2026-109618 và CVE-2026-109619. Các nhà nghiên cứu bảo mật xác nhận rằng những điểm yếu này ảnh hưởng đến tất cả các phiên bản từ PHP 5 trở đi. Với điểm số nghiêm trọng là 9.2 trên thang CVSS, chuyên gia bảo mật Davi Ottenheimer mô tả điểm yếu này giống như “một cánh cửa trước không có khóa”. Nhóm phát triển đã phải gấp rút tung ra các bản vá lỗi khẩn cấp, bao gồm các phiên bản PHP 8.5.12, 8.4.27, 8.3.36, và 8.2.35.

Vì sao nhiều chính phủ phải tự đánh sập trang web?

Trước các thông báo rằng tin tặc đang lợi dụng điểm yếu này để xâm nhập, nhiều cơ quan đã hành động ngay lập tức:

Tại Hà Lan, Trung tâm An ninh Mạng Quốc gia đã tự nguyện ngắt kết nối trang chủ của mình để đề phòng.
Nhiều tổ chức khác tại quốc gia này như Cảng Rotterdam, cổng thông tin chính phủ Overheid.nl, hiệp hội bóng đá quốc gia KNVB, và các bệnh viện cũng đồng loạt tắt các trang web công khai.
Tại Phần Lan, nhà cung cấp dịch vụ công nghệ thông tin nhà nước Valtori đã đưa các dịch vụ mạng công cộng của chính phủ vào trạng thái ngoại tuyến.
Bộ Nội vụ Pháp cũng tạm thời gỡ bỏ các trang web hành chính địa phương trong lúc chờ bản cập nhật bảo mật.
Công ty công nghệ thông tin của Đan Mạch, Kombit, cho biết họ đã ngừng một số dịch vụ, bao gồm nền tảng giao tiếp trường học quốc gia.

Tại sao PHP lại quan trọng đến vậy?

Hãy tưởng tượng PHP như một động cơ ẩn giấu bên trong một chiếc xe. Khi một người truy cập một trang web, máy chủ chạy PHP sẽ lắp ráp nội dung và gửi toàn bộ kết quả đến trình duyệt. Ngôn ngữ này duy trì hoạt động cho khoảng 70% đến 76% các trang web được biết đến trên thế giới. Công ty bảo mật Huntress giải thích rằng PHP âm thầm cung cấp năng lượng cho WordPress, Drupal, Joomla, và rất nhiều nhu liệu khác mà không hề quảng cáo ra bên ngoài.

Nguy cơ từ trí tuệ nhân tạo (AI) và rủi ro cho các tổ chức nhỏ

Liệu AI có làm cho tình hình tồi tệ hơn? Ông Lukasz Olejnik, chuyên gia nghiên cứu cấp cao tại Đại học King’s College London, nhận định rằng quy mô của vấn đề là khổng lồ. Ông nhấn mạnh với sự hỗ trợ của AI, việc khai thác có thể diễn ra lập tức và toàn diện.

Bên cạnh đó, rủi ro đặc biệt nghiêm trọng đối với các trang web nhỏ do cá nhân hoặc tổ chức vận hành với nguồn lực kỹ thuật hạn chế. Những nền tảng này thường chạy trên các dịch vụ lưu trữ dùng chung, nơi khách hàng không trực tiếp quản trị các máy chủ bên dưới. Điều này khiến việc vá lỗi mất nhiều thời gian hơn.

Cộng đồng công nghệ và mạng xã hội phản ứng ra sao?

Trên mạng xã hội X, ông Dane Knecht, giám đốc công nghệ của công ty bảo mật Cloudflare, đưa ra mức báo động: “Chúng tôi đang thấy các cuộc tấn công ban đầu xuất hiện và đang cập nhật các biện pháp giảm nhẹ. Đây chỉ là giải pháp tạm thời. Hãy vá lỗi ngay khi PHP phát hành bản cập nhật”.

Từ góc nhìn của các cộng đồng công nghệ, nhiều nguồn tin tại Việt Nam như nền tảng VNETWORK đã thường xuyên thông tin rằng việc sử dụng các nhu liệu cũ và lỗi thời là một trong những nguồn gốc dẫn đến các trở ngại bảo mật nghiêm trọng.

Các cơ quan an ninh mạng tại Châu Âu, Úc, Nhật Bản và Anh đều đồng loạt thúc giục người dùng cập nhật ngay lập tức hoặc gỡ bỏ trang web cho đến khi có thể thi hành việc vá lỗi. Cơ quan an ninh mạng Hoa Kỳ CISA hiện chưa trả lời email yêu cầu bình luận.

Nguồn: