Đại học Kỹ thuật Praha (ČVUT) hứng chịu một cuộc tấn công mạng nhắm vào hạ tầng CNTT, liên quan tới các nỗ lực toàn cầu khai thác hai lỗ hổng nghiêm trọng vừa được công bố trong PHP. Đây là nạn nhân đầu tiên được xác nhận tại Cộng hòa Séc có liên đới tới các lỗ hổng này. Cuộc tấn công chủ động đã bị chặn, song nhà trường tạm thời ngừng một số hệ thống để phòng ngừa.

Theo thông báo của nhà trường trên Facebook (Facebook), các nhóm kỹ thuật đang xử lý hậu quả và khôi phục vận hành. Trường không nêu dịch vụ nào bị ảnh hưởng, thời điểm khôi phục, cũng như chưa xác nhận liệu dữ liệu sinh viên hay nhân viên có bị truy cập trái phép hoặc việc giảng dạy có bị gián đoạn hay không. Nhà trường hứa sẽ tiếp tục cập nhật thông tin.

Hai lỗ hổng nghiêm trọng trong PHP có thể cho phép kẻ tấn công thực thi lệnh từ xa trên máy chủ dễ tổn thương, sửa nội dung trang hoặc đánh cắp dữ liệu. Điều này không đồng nghĩa mọi trang dùng PHP đều bị tấn công, nhưng phạm vi ảnh hưởng tiềm tàng rất lớn do PHP được sử dụng rộng rãi trên các website và hệ thống thương mại điện tử.

Chuyên gia Jiří Kohout từ Công ty an ninh mạng Check Point (Check Point) cảnh báo lỗ hổng nằm ngay trong PHP, cho phép chạy mã từ xa kể cả khi không đăng nhập, có thể dẫn đến đánh cắp dữ liệu, lây lan sang hệ thống khác và gây gián đoạn dịch vụ. Một số cơ quan đã chủ động ngắt trang web khỏi Internet; Hãng tin Reuters (Reuters) cho biết các cơ quan nhà nước ở Hà Lan và Phần Lan, trong đó có Trung tâm An ninh mạng Quốc gia của Hà Lan (National Cyber Security Centre), đã thực hiện biện pháp phòng ngừa. Công ty Cloudflare (Cloudflare) ghi nhận các nỗ lực khai thác đầu tiên. Tại Cộng hòa Séc, trang của Chính phủ Cộng hòa Séc (Vláda České republiky) và Viện Khí tượng Thủy văn Cộng hòa Séc (Český hydrometeorologický ústav) cũng từng bị ngắt phòng ngừa. Riêng ČVUT xác nhận bị tấn công thực tế nhưng chưa tiết lộ chi tiết kỹ thuật hay lỗ hổng cụ thể bị lợi dụng.

Tình hình thêm phức tạp do thông tin về lỗ hổng bị rò rỉ sớm, tạo lợi thế cho tin tặc. Bản vá đã sẵn sàng và cần được ưu tiên cài đặt ngay. Việc chỉ cập nhật WordPress hay các plugin là không đủ; quản trị viên phải cập nhật trực tiếp PHP trên máy chủ.

Nhà phát triển đã phát hành các cập nhật bảo mật, quản trị viên cần triển khai trên hệ thống. Nhà phát triển người Séc Ondřej Surý cũng cung cấp bản vá cho các phiên bản PHP cũ vốn không còn được hỗ trợ chính thức, do các phiên bản này vẫn được sử dụng rộng rãi, kể cả bởi nhiều tập đoàn đa quốc gia; số lượng chính xác khó thống kê.

Người dùng thông thường không thể khắc phục vấn đề chỉ bằng cập nhật điện thoại hay trình duyệt. Trách nhiệm vá lỗi và bảo vệ hệ thống thuộc về các đơn vị vận hành dịch vụ và quản trị máy chủ.