AI của OpenAI phát hiện lỗ hổng PHP tồn tại hàng thập kỷ, rồi phối hợp khắc phục
Một cặp lỗ hổng bảo mật nghiêm trọng trong PHP, ngôn ngữ kịch bản vận hành phần lớn các trang web trên thế giới, đã buộc giới công nghệ toàn cầu phải gấp rút xử lý trong tuần này. Các lỗi được phát hiện với sự trợ giúp của các công cụ AI của OpenAI và sau đó được sửa chữa trong một nỗ lực phối hợp khẩn trương có sự tham gia của các nhà duy trì phần mềm, công ty bảo mật, nhà cung cấp dịch vụ đám mây và các cơ quan an ninh mạng quốc gia, theo OpenAI và các nhà nghiên cứu bảo mật.
Hai lỗ hổng, được nhóm dưới biệt danh PHP2Shell và theo dõi là CVE-2026-109618 và CVE-2026-109619, đều đạt 9,2 trên 10 theo thang điểm mức độ nghiêm trọng CVSS v4.0. Trong trường hợp xấu nhất, kẻ tấn công có thể chạy mã tùy ý trên máy chủ dễ bị tổn thương, mức độ nghiêm trọng tương đương với những vấn đề bảo mật web tồi tệ nhất. Các lỗ hổng được cho là đã tồn tại trong mã nguồn hơn một thập kỷ.
Phát hiện này đến từ chương trình Patch the Planet của OpenAI, một sáng kiến kết hợp các mô hình AI với các nhà nghiên cứu bảo mật để săn tìm điểm yếu trong phần mềm mã nguồn mở được sử dụng rộng rãi. Công ty bảo mật Calif và công ty bảo mật đám mây Wiz được cho là đã độc lập phát hiện các vấn đề PHP với sự hỗ trợ của AI vào tháng 8. Tiếp theo là khoảng hai tháng làm việc âm thầm để chuẩn bị bản vá trước khi bất kỳ ai có thể vũ khí hóa các lỗi này.
Kế hoạch đó bị gián đoạn khi thông tin chi tiết bị rò rỉ vào ngày 20 tháng 10, dường như trước ngày phát hành phối hợp. Vụ rò rỉ khiến các nhóm vận hành PHP thức trắng đêm, khi các quản trị viên gấp rút đánh giá mức độ phơi nhiễm và áp dụng các biện pháp giảm thiểu. Quỹ PHP đã phát hành bản vá chính thức vào ngày 21 tháng 10, và OpenAI công bố tường trình về toàn bộ nỗ lực này cùng ngày.
Câu chuyện có ý nghĩa vượt xa các diễn đàn dành cho nhà phát triển. PHP là nền tảng cho các hệ thống quản lý nội dung, diễn đàn và cửa hàng trực tuyến trên khắp internet, và các ước tính lưu hành trên truyền thông công nghệ Trung Quốc cho rằng nó bao phủ khoảng bảy mươi phần trăm các trang web. Một lỗ hổng có thể khai thác từ xa trong lớp đó là rủi ro hệ thống, không phải rủi ro thích hợp, đó là lý do các nhà cung cấp đám mây và cơ quan an ninh chính phủ tham gia ứng phó.
Đối với OpenAI, Patch the Planet cũng là một tuyên bố về cách AI có thể thay đổi nghiên cứu lỗ hổng. Việc tìm lỗi ở quy mô lớn theo truyền thống là công việc thủ công chậm chạp. Các mô hình AI có thể quét các cơ sở mã khổng lồ một cách nhanh chóng, nhưng phần khó hơn là bộ máy con người theo sau: xác minh phát hiện, viết bản vá, cảnh báo nhà cung cấp và giữ bí mật mọi thứ cho đến khi người dùng có thể cập nhật. Tập phim PHP đã thử thách bộ máy đó dưới áp lực rò rỉ.
Tập phim cũng làm nổi bật căng thẳng ngày càng tăng. Phát hiện có sự hỗ trợ của AI đồng nghĩa với việc nhiều lỗ hổng sẽ xuất hiện nhanh hơn, và không phải dự án nào cũng có người duy trì hoặc nguồn lực để ứng phó kịp thời. Các chuẩn mực công bố phối hợp, từng là một góc khuất lặng lẽ của ngành, đang trở thành một bài tập hậu cần toàn cầu liên quan đến các công ty và cơ quan hiếm khi nói chuyện với nhau.
Đối với người dùng thông thường và doanh nghiệp, lời khuyên thực tế vẫn không thay đổi: cập nhật ngay các bản cài đặt PHP và phần mềm phụ thuộc, đồng thời theo dõi các khuyến cáo của nhà cung cấp. Đối với ngành, bài học có thể là AI giờ đây là một phần của chuỗi cung ứng bảo mật, và cuộc đua không còn chỉ là tìm ra lỗi mà là sửa chúng trước khi internet phát hiện.