Do lỗ hổng bảo mật nghiêm trọng trong PHP, nhiều bang ở Đức đã chủ động đưa các cổng thông tin tạm ngoại tuyến. Sáng thứ Năm, nhiều trang ở Rheinland-Pfalz và Saarland đã mở lại; tại Thüringen, các trang của Văn phòng Chính quyền bang (Staatskanzlei), Cảnh sát bang (Landespolizei) và Bộ Nội vụ (Innenministerium) hoạt động từ tối thứ Tư. Một số trang nổi bật ở Nordrhein-Westfalen vẫn chưa truy cập được. Nhóm phát triển của dự án PHP đã phát hành các phiên bản cập nhật chiều thứ Tư để khắc phục lỗ hổng.

Theo trang chính thức PHP.net, quản trị viên phải cập nhật lên bản đã vá và bảo đảm chạy trên mọi máy chủ xử lý yêu cầu; về dài hạn nên chuyển lên PHP 8.2 trở lên. Nhóm PHP (PHP Group) nhấn mạnh chỉ cập nhật mới xử lý triệt để, dù có biện pháp bổ sung giảm rủi ro; hướng dẫn chi tiết đã công bố. Với trang cá nhân dùng dịch vụ hosting/WordPress, nhà cung cấp thường tự triển khai bản vá; người dùng nên kiểm tra phiên bản PHP trong bảng điều khiển. Các bản an toàn gồm 8.2.35, 8.3.36, 8.4.27 và 8.5.12.

Hôm thứ Tư, chuyên gia an ninh CNTT từ Karlsruhe, Christoph Fischer, cảnh báo phải ngắt ngay những hệ thống chưa kịp vá vì nguy cơ làn sóng tấn công tự động; theo ông, mọi ứng dụng PHP không được bảo vệ là “cánh cửa mở” cho tội phạm. Có nhiều dấu hiệu cho thấy lỗ hổng bị phát hiện nhờ sử dụng trí tuệ nhân tạo ở quy mô lớn sau khi bị bỏ sót suốt nhiều thập kỷ.

Lỗ hổng nằm trong PHP, nền tảng của phần lớn Internet. Theo Hiệp hội số Đức Bitkom (Bitkom), hầu như mọi doanh nghiệp có website, cửa hàng trực tuyến hay ứng dụng web đều dùng PHP, nhiều đơn vị thậm chí không biết do chạy hệ quản trị nội dung. Người dùng thông thường không cần hành động, vì lỗi nằm ở phía máy chủ. Hai điểm yếu được gán mã CVE-2026-109618 và CVE-2026-109619.

Mức rủi ro rất lớn: kẻ tấn công có thể thực thi mã từ xa mà không cần đăng nhập, chiếm toàn quyền điều khiển website, đánh cắp cơ sở dữ liệu và lạm dụng hạ tầng cho các đợt tấn công khác. Chính trị gia phụ trách an ninh của Liên minh Dân chủ Cơ đốc giáo (CDU) Marc Henrichmann gọi đây là một trong những lỗ hổng nghiêm trọng nhất những năm gần đây.

Các chiến dịch tấn công tự động đang khởi phát và có thể kéo dài hàng tuần, thậm chí hàng tháng, khi kẻ tấn công liên tục săn tìm hệ thống chưa vá. Chỉ khi phần lớn nhà cung cấp hosting và quản trị viên triển khai cập nhật mới có thể yên tâm; các hệ thống cũ không còn nhận bản vá phải cô lập hoặc tắt hẳn. Công ty an ninh mạng Wiz Research (Wiz Research) cho biết họ cùng các nhóm khác đã dùng mô hình AI tìm lỗ hổng trong PHP từ tháng 8 và giữ kín kết quả để phát triển bản sửa. Quỹ PHP (PHP Foundation) đã phát hành bản cập nhật vào chiều thứ Tư (giờ châu Âu) và kêu gọi cập nhật ngay.

Chủ tịch Ủy ban Kiểm soát Nghị viện đối với cơ quan tình báo (Parlamentarisches Kontrollgremium) Marc Henrichmann nói với Báo Handelsblatt (Handelsblatt) rằng đây là “bước ngoặt”: AI biến những điểm yếu trước kia khó khai thác thành “cửa ngõ” thực sự. Ông cảnh báo lỗ hổng ảnh hưởng phần lớn website toàn cầu, phơi bày mức dễ tổn thương của cơ quan nhà nước. Bộ trưởng Nội vụ bang Baden-Württemberg Manuel Hagel (CDU) nhấn mạnh cần sẵn sàng đưa hệ thống phơi lộ khỏi mạng ngay khi có nguy cơ để ngăn thiệt hại.