Sự cố nghiêm trọng của PHP cho thấy AI khiến các lỗ hổng bảo mật dễ bị khai thác hơn

Lily Hay Newman, Matt Burgess An ninh mạng Ngày 24/10/2026, 8:00 Sự cố PHP cho thấy AI gia tăng khả năng khai thác các lỗ hổng bảo mật Các nhà nghiên cứu an ninh mạng đã sử dụng các công cụ AI nhằm phát hiện những lỗ hổng tồn tại nhiều năm trong ngôn ngữ kịch bản web PHP. Tiếp đó, các cuộc tấn công có sự hỗ trợ của AI bắt đầu xuất hiện. Ảnh minh họa: WIRED STAFF; Getty Images CommentLoader Lưu bài viếtLưu bài viết này CommentLoader Lưu bài viếtLưu bài viết này Chào mừng đến với Kernel Panic, bản tin hằng tuần của Lily Hay Newman và Matt Burgess về thế giới quyền riêng tư và an ninh kỹ thuật số. Để nhận bản tin này qua hộp thư điện tử mỗi tuần, đăng ký tại đây. Khi các đội ngũ an ninh mạng và quản trị viên web gấp rút triển khai bản vá cho các lỗ hổng PHP mới được công bố trong tuần này, các tin tặc tội phạm đã nhanh chóng tìm cách khai thác chúng trên thực tế. Theo phân tích từ Cloudflare, hàng triệu nỗ lực khai thác đã diễn ra chỉ vài giờ sau khi các lỗ hổng được công khai—điều không bất ngờ trong bối cảnh các công cụ AI được tiếp cận rộng rãi, giúp kẻ tấn công đẩy nhanh tốc độ khai thác lỗ hổng. Cho đến nay, kịch bản xấu nhất về các vụ chiếm quyền kiểm soát và xâm nhập hệ thống trên diện rộng vẫn chưa xảy ra. PHP Foundation cho biết chưa ghi nhận trường hợp khai thác thành công nào đối với các lỗ hổng có tên chung là PHP2Shell, và nhiều mã khai thác tiềm năng đang lan truyền công khai dường như không có hiệu lực. Tuy nhiên, vai trò đáng chú ý nhất của AI trong đợt xáo trộn tuần này là cách các mô hình tiên tiến hỗ trợ các nhà nghiên cứu tìm ra phương thức khai thác thực tế đối với những lỗ hổng vốn đã được biết đến một phần từ nhiều năm trước. Nói cách khác, AI đã góp phần biến một lỗ hổng trong quá khứ thành một cuộc khủng hoảng hiện tại. Vấn đề đặt ra là liệu các hệ thống có nguy cơ bị đe dọa bởi một làn sóng lỗ hổng nghiêm trọng vốn đã tồn tại qua nhiều thập kỷ hay không? Các nhà nghiên cứu tại công ty an ninh mạng Calif là những người đầu tiên xác định các lỗ hổng PHP2Shell và xây dựng mã khai thác vào đầu tháng 8—một phần sử dụng các công cụ AI tiên phong trong khuôn khổ chương trình Patch the Planet của OpenAI, đồng thời kết hợp kiến thức chuyên môn của con người về cấu trúc và các điểm yếu của PHP. Một số vấn đề nền tảng từng được xác định vào năm 2024 nhưng ở thời điểm đó được đánh giá là quá phức tạp để khai thác. Tiếp sau phát hiện của Calif, các nhà nghiên cứu tại OpenAI và công ty an ninh mạng Wiz (thuộc sở hữu của Google) đã độc lập phát hiện các lỗ hổng PHP2Shell thông qua các công cụ AI. Sagi Tzadik, nhà nghiên cứu an ninh mạng tại Wiz, cho biết: “Lỗ hổng này đã được nhóm phát triển PHP biết đến trong nhiều năm, nhưng do kẻ tấn công không thể tận dụng—ít nhất là đối với con người—nên vấn đề đã không được xử lý”. Không có phần mềm nào hoàn hảo. Lỗ hổng luôn có thể xuất hiện ngay cả ở những công cụ kỹ thuật số nền tảng và thiết yếu nhất, song năng lực ngày càng gia tăng của các mô hình AI đã rút ngắn thời gian phân tích và tăng khả năng khai thác lỗ hổng. Tình trạng này gia tăng áp lực đối với các đội ngũ IT, lập trình viên và quản trị viên vốn đang đối mặt với sự hạn chế về nguồn lực. Riêng trong tháng này, các bản cập nhật an ninh của Microsoft đã ghi nhận mức kỷ lục 1.453 lỗ hổng bảo mật. Trong khi đó, Bank of America gần đây đã thuê 1.000 chuyên gia tư vấn để xử lý các lỗ hổng do công cụ Mythos của Anthropic phát hiện. Dù vậy, các nhà nghiên cứu an ninh mạng nhấn mạnh rằng AI xét đến cùng không tạo ra điều gì hoàn toàn mới, mà chủ yếu khuếch đại quy mô và tốc độ của quy trình phát hiện cũng như công bố lỗ hổng có phối hợp. Ông Jake Williams, Phó Chủ tịch phụ trách nghiên cứu và phát triển tại Hunter Strategy, đồng thời là cựu chuyên gia an ninh mạng của NSA, nhận định: “Chúng ta chắc chắn sẽ còn thấy nhiều lỗ hổng tồn tại lâu năm xuất hiện trong mọi phiên bản phần mềm suốt thập kỷ qua hoặc lâu hơn. Tuy nhiên, số lượng mục tiêu dễ khai thác như vậy không còn nhiều. Rất ít nền tảng có phạm vi ảnh hưởng đặc thù như PHP. Đây là một bề mặt tấn công rất rộng và phức tạp, trong khi phần lớn các công cụ khác vốn không được thiết kế để kết nối trực tiếp với internet.” Các nhà nghiên cứu cũng lưu ý rằng, ngay cả với các mô hình AI tiên tiến nhất, phần lớn các vụ tấn công mạng tinh vi có sự trợ giúp của AI vẫn đòi hỏi chuyên môn của con người. Như ông Ryan Austin, nhà nghiên cứu tại Calif và là người đầu tiên phát hiện các lỗ hổng của PHP, đã nhận định trong tuần này: “Không mô hình nào có thể tìm ra ‘mọi lỗ hổng’ chỉ bằng những câu lệnh (prompt) đơn giản. Ít nhất là ở thời điểm hiện tại.” Tóm lại, kỹ sư kiêm nhà nghiên cứu bảo mật Niels Provos cho rằng dư luận có thể giảm bớt sự lo ngại, ít nhất là vào lúc này. Đề cập đến việc AI có thể phát hiện một lượng lớn các lỗi cũ để khai thác theo cách mới, hoặc tìm ra các lỗ hổng mới vốn không thể khai thác trên thực tế nếu thiếu AI, ông cho biết: “Thành thật mà nói, tôi không quá lo lắng. Giới chuyên môn đã ứng dụng AI để rà soát trong hơn một năm qua, và trường hợp này đòi hỏi một đội ngũ có kỹ năng rất cao mới có thể phát hiện. Thời gian sẽ trả lời liệu tôi có hoàn toàn sai lầm hay không, nhưng tôi tin vào nhận định của mình.”