KIỂM CHỨNG: Lỗ hổng PHP2Shell có thực sự đe dọa 70% Internet thế giới?

Kết luận sơ bộ: Tin này có sự kiện an ninh mạng nghiêm trọng có thật, không phải tin bịa đặt. Tuy nhiên, bài đăng của Facebook Vũ Kim Hạnh có một số điểm cần phân biệt giữa dữ kiện đã được xác nhận, cách diễn đạt cường điệu và những chi tiết cần kiểm chứng thêm.

Đặc biệt, phải phân biệt hai nhận định:

• PHP được sử dụng trên khoảng 70% website: Đây là cơ sở để nói lỗ hổng có phạm vi ảnh hưởng tiềm tàng rất lớn.

• 70% Internet đã bị xâm nhập hoặc đang bị tấn công: Đây là cách hiểu sai. Không có căn cứ để kết luận như vậy.

1. Những gì đã được xác nhận

2. Ai phát hiện lỗ hổng? Vai trò của Calif và Dương Ngọc Thái

Đây là phần đặc biệt đáng chú ý của câu chuyện.

Nguồn xác nhận trực tiếp: thông báo của OpenAI ngày 21/10/2026. OpenAI nói rõ Calif phát hiện một lỗ hổng bằng GPT-5.6 Sol; Wiz cũng độc lập phát hiện và báo cáo cả hai lỗ hổng.

 

Vậy Dương Ngọc Thái có thực sự đóng vai trò quan trọng?

Có cơ sở để khẳng định Thai Duong (Dương Ngọc Thái), lãnh đạo Calif, là một nhân vật chủ chốt trong nhóm nghiên cứu và quá trình phối hợp xử lý lỗ hổng này.

Bài viết của WSJ dẫn lời Thai Duong, CEO Calif, cảnh báo nguy cơ các hacker có thể lấy bản vá rồi dùng AI để nhanh chóng tạo công cụ khai thác.

 

Nhưng cần phân biệt:

• Có căn cứ: Calif tham gia phát hiện, nghiên cứu và phối hợp công bố lỗ hổng.

• Có căn cứ: AI đóng vai trò quan trọng trong việc phát hiện và phát triển khả năng khai thác.

• Chưa thể xác nhận độc lập chỉ từ các nguồn trên: Dương Ngọc Thái đã thức trắng hơn 24 giờ, hay toàn bộ việc công bố phụ thuộc riêng vào nỗ lực cá nhân của ông.

• Không chính xác nếu diễn giải: Một mình Calif đã phát hiện và sửa toàn bộ lỗ hổng, một mình cứu 70% Internet.

Cũng cần ghi nhận Wiz và đội ngũ duy trì PHP. Một thành tựu an ninh mạng ở quy mô này là kết quả của cả hệ sinh thái, không chỉ một cá nhân.

3. Lỗ hổng được phát hiện từ ngày 5/8 hay trước đó?

Đây là chi tiết cần chỉnh chính xác.

Reuters cho biết Calif phát hiện lỗ hổng với sự hỗ trợ của mô hình AI vào ngày 1/8/2026, sau đó phối hợp xử lý và chuẩn bị bản vá. Bài đăng của GS Phan Dương Hiệu nói ngày 5/8. Hai mốc này có thể phản ánh những bước khác nhau trong quá trình nghiên cứu, nhưng dữ kiện công khai tôi tìm được đang ủng hộ mốc 1/8 của Calif.

 

Cần phân biệt:

1. Phát hiện dấu hiệu lỗi.

2. Xác minh lỗi.

3. Phát triển phương thức khai thác.

4. Báo cáo cho nhà phát triển.

5. Sửa lỗi, kiểm thử.

6. Công bố và phân phối bản vá.

Ngày phát hiện ban đầu không nhất thiết là ngày hoàn tất khai thác hay ngày thông báo cho nhóm PHP.

Vì vậy, câu “lỗ hổng được tìm thấy từ ngày 5/8 và giữ bí mật” về bản chất phù hợp với quy trình công bố có trách nhiệm, nhưng ngày cụ thể nên dẫn theo hồ sơ của nhóm phát hiện.

4. Có đúng thông tin bị rò rỉ trước giờ công bố?

Đúng. Đây là một trong những chi tiết quan trọng nhất của vụ việc.

Theo các thông tin được công bố:

• Ngày 20/10, một bài đăng trên Hacker News tiết lộ thông tin về hai lỗ hổng PHP nghiêm trọng trước thời hạn công bố dự kiến.

• Thông tin rò rỉ bao gồm các mã CVE và thời điểm dự kiến công bố.

• Nhóm bảo mật PHP đã phải đẩy lịch phát hành bản vá lên ngày 21/10, sớm hơn kế hoạch ngày 22/10.

• Thông tin về lỗ hổng đang được bảo mật theo quy trình embargo, tức hạn chế tiết lộ trước thời điểm thống nhất.

The Hacker News và Check Point đều ghi nhận việc rò rỉ này.

 

Tuy nhiên, cần phân biệt rò rỉ thông tin về sự tồn tại của lỗ hổng với việc công bố đầy đủ mã khai thác và chi tiết kỹ thuật. Không nên mặc nhiên cho rằng ngay từ lúc rò rỉ, tất cả hacker đều đã có phương thức tấn công hoàn chỉnh.

5. Có phải các chính phủ đã phải hành động ngay? Có website bị ngắt hoạt động?

Đúng.

Theo Reuters ngày 21/10:

• Một số cơ quan chính phủ tại Hà Lan, Pháp, Đan Mạch và Phần Lan đã đưa website hoặc dịch vụ trực tuyến về trạng thái ngoại tuyến.

• Một số dịch vụ của Wikipedia và Internet Archive cũng tạm thời ngừng hoạt động để xử lý rủi ro.

• Các cơ quan an ninh mạng khuyến nghị cập nhật khẩn cấp hoặc tạm ngắt các website dễ bị tổn thương.

• Theo số liệu Censys được Reuters dẫn lại, khoảng 1,5 triệu trong 2,6 triệu máy chủ được khảo sát đang chạy phiên bản PHP chưa có bản vá tại thời điểm báo cáo.

  

  Reuters

   

Đây là bằng chứng cho thấy vụ việc đã vượt khỏi phạm vi một phát hiện trong phòng nghiên cứu để trở thành một sự kiện ứng phó an ninh mạng trên diện rộng.

Một chi tiết còn nghiêm trọng hơn: dấu hiệu khai thác đã xuất hiện

Reuters đưa tin Amazon phát hiện một nỗ lực khai thác các lỗ hổng nhằm vào hệ thống honeypot của họ từ ngày 17/10, tức trước ngày công bố chính thức.

Amazon nói chưa rõ tác nhân đã biết lỗ hổng bằng cách nào và cũng chưa xác định được những nỗ lực đó có thành công trên website thật hay không. Sau đó, Amazon cho biết hoạt động khai thác đã xuất hiện rộng rãi ngoài thực tế.

 

Do đó, phải cập nhật nhận định:

Không thể nói rằng chỉ có nguy cơ lý thuyết. Đã có dấu hiệu khai thác thực tế, nhưng không có nghĩa toàn bộ các website PHP đã bị xâm nhập.

6. Các website WordPress cần làm gì ngay?

Đây là phần thực tế nhất đối với những người quản trị website.

Vì PHP2Shell tác động đến chính môi trường PHP, cập nhật WordPress, theme hay plugin không thay thế được việc cập nhật PHP.

Các bản PHP sửa lỗi được công bố gồm:

Các phiên bản trên được nêu trong hướng dẫn cập nhật của nhóm công bố PHP2Shell.

 

Các bản backport hoặc gói cập nhật riêng có thể tồn tại với một số nhánh cũ, nhưng không nên tự suy luận rằng mọi phiên bản PHP cũ đều được hỗ trợ và đã an toàn.

Checklist cho chủ website

Lưu ý: Nếu phát hiện dấu hiệu máy chủ đã bị xâm nhập, chỉ nâng cấp PHP chưa đủ. Cần cô lập hệ thống khi thích hợp, bảo toàn log, điều tra và thay thông tin xác thực có nguy cơ bị lộ.

Với website WordPress sử dụng hosting quản lý như Hostinger, cần hỏi nhà cung cấp về phiên bản PHP thực tế và tình trạng vá ở cấp máy chủ. Không nên tự thay đổi cấu hình PHP tùy tiện nếu chưa biết tương thích.

7. Đánh giá cuối cùng: Tin thật, nhưng tiêu đề cần chính xác hơn

Điều đáng suy ngẫm nhất: AI đã thay đổi cán cân an ninh mạng

Theo tôi, đây mới là ý nghĩa chiến lược lớn nhất của sự kiện.

Một lỗi tồn tại trong nền tảng phần mềm suốt nhiều năm có thể trở thành nguy cơ toàn cầu khi AI giúp rút ngắn quá trình tìm kiếm, phân tích và phát triển phương thức khai thác.

AI mang lại lợi thế cho bên phòng thủ, nhưng sau khi thông tin và bản vá xuất hiện, nó cũng có thể giúp bên tấn công phân tích ngược bản sửa lỗi để tìm ra cách khai thác.

OpenAI thừa nhận chính khả năng AI hỗ trợ phát triển công cụ tấn công là lý do cần chuẩn bị cơ chế ứng phó ở quy mô lớn.

 

Điều này dẫn đến một nghịch lý mới:

AI giúp phát hiện lỗ hổng nhanh hơn, nhưng cũng có thể làm thời gian từ lúc công bố bản vá đến lúc hacker khai thác thành công ngắn hơn.

Thành công không chỉ nằm ở việc tìm ra lỗi. Nó nằm ở việc phối hợp giữa người nghiên cứu, nhà phát triển phần mềm, nhà cung cấp hạ tầng, cơ quan an ninh mạng và hàng triệu quản trị viên để sửa lỗi trước khi đối phương khai thác.

Nguồn đối chiếu chính

• The Wall Street Journal — AI Just Found a Bug That Puts up to 70% of the World’s Websites at Risk

• OpenAI — Patch the Planet

• PHP2Shell — Thông tin kỹ thuật và hướng dẫn cập nhật

• Reuters — Government websites go dark after AI-discovered flaw sparks security scramble

• Wiz — PHP2Shell: AI uncovers critical RCE vulnerabilities