CZ cảnh báo lỗ hổng PHP nghiêm trọng đang bị tấn công tích cực
TREE NEWS đưa tin: Nhà sáng lập Binance Changpeng Zhao (CZ) đã đưa ra cảnh báo mạnh mẽ: một lỗ hổng PHP mức độ nghiêm trọng cao đang bị khai thác trong thực tế. Lỗ hổng cho phép thực thi mã từ xa và đánh cắp thông tin xác thực trong các điều kiện cụ thể, ảnh hưởng đến các nền tảng được sử dụng rộng rãi như WordPress và Magento. Tiết lộ này diễn ra sau sự lây lan nhanh chóng của một lỗ hổng CGI đã phơi bày hơn 26 triệu phiên bản trên toàn cầu, với một số nhà nghiên cứu cho rằng có tới 70% internet có thể bị ảnh hưởng.
Phạm vi và tác động
Lỗ hổng PHP, được đánh giá là nghiêm trọng, cho phép kẻ tấn công thực thi mã tùy ý từ xa, có khả năng xâm phạm toàn bộ máy chủ web. WordPress, nền tảng vận hành hơn 40% tổng số trang web, và Magento, một nền tảng thương mại điện tử hàng đầu, đặc biệt gặp rủi ro. Lỗ hổng CGI được tiết lộ trước đó đã bị vũ khí hóa, với hoạt động quét tăng vọt trong vòng vài giờ sau khi công bố. Công ty bảo mật IK lưu ý rằng mức độ phơi bày là chưa từng có về quy mô, kêu gọi vá ngay lập tức.
Vitalik Buterin: Phòng thủ cần đại tu cơ bản
Đồng sáng lập Ethereum Vitalik Buterin đã lên tiếng, lập luận rằng chỉ vá từng lỗi riêng lẻ là không đủ. Ông kêu gọi cải cách cấu trúc sâu hơn trong cách phần mềm được xây dựng và bảo mật, nhấn mạnh rằng mô hình hiện tại của các nhà nghiên cứu chạy đua với tin tặc để tiết lộ lỗ hổng là không bền vững. Buterin ủng hộ hệ thống kiểu mạnh hơn, xác minh hình thức và ngôn ngữ an toàn bộ nhớ để giảm toàn bộ các lớp lỗi.
Hàm ý cho ngành
Đối với ngành tiền mã hóa, cảnh báo này là một hồi chuông thức tỉnh. Nhiều giao thức DeFi và sàn giao dịch dựa vào backend dựa trên PHP hoặc tích hợp với WordPress để quản lý nội dung. Một sự kiện khai thác hàng loạt có thể dẫn đến rò rỉ thông tin xác thực, chiếm đoạt máy chủ và sau đó là đánh cắp tiền của người dùng. Sự cố cũng làm nổi bật tính liên kết của cơ sở hạ tầng Web2 và Web3—một lỗ hổng trong ngôn ngữ cũ có thể lan sang tổn thất tiền mã hóa.
Hơn nữa, quy mô phơi bày CGI—26 triệu phiên bản—cho thấy chỉ vá lỗi không thể giảm thiểu rủi ro. Các công cụ quét và khai thác tự động có sẵn, hạ thấp rào cản cho kẻ tấn công. Các dự án nên tiến hành kiểm toán ngay lập tức các dịch vụ hướng web của họ và thực thi kiểm soát truy cập nghiêm ngặt.
Quan điểm hướng tới tương lai
Ngành tiền mã hóa phải coi bảo mật là công dân hạng nhất. Dự kiến sẽ tăng cường áp dụng các chương trình tiền thưởng lỗi, chia sẻ thông tin tình báo mối đe dọa theo thời gian thực và chuyển hướng sang các ngôn ngữ an toàn bộ nhớ như Rust cho cơ sở hạ tầng quan trọng. Các cơ quan quản lý cũng có thể chú ý, có khả năng yêu cầu tiết lộ bảo mật cho các nền tảng tài sản kỹ thuật số. Như cảnh báo của CZ và lời kêu gọi cải cách của Buterin nhấn mạnh, ngành không thể chờ đợi sự xâm phạm tiếp theo—thay đổi chủ động và hệ thống là bắt buộc.
