PHP là ngôn ngữ lập trình đứng sau phần lớn hạ tầng web từ đầu thế kỷ 21 và hiện đối mặt loạt lỗ hổng nghiêm trọng. Theo Đài BBC (BBC), các nhà nghiên cứu của công ty bảo mật Calif (Calif) và công ty bảo mật Wiz (Wiz) đã dùng công cụ trí tuệ nhân tạo để phát hiện các điểm yếu; Wiz đánh giá đây là số lỗ hổng nghiêm trọng nhất từng được AI tìm ra. Nhóm phát triển PHP đã phát hành bản vá và cơ quan chức năng trên toàn cầu kêu gọi cập nhật khẩn cấp.

PHP vận hành ở tầng hậu trường của các trang như Wikipedia và hệ quản trị nội dung WordPress. Lỗ hổng có thể cho phép kẻ tấn công, trong một số điều kiện, truy nhập máy chủ web mà không cần đăng nhập, tiếp cận dữ liệu nhạy cảm và cơ sở dữ liệu. Chuyên gia Paul Spain nhận định phạm vi ảnh hưởng có thể lên tới “hàng triệu và hàng triệu” trang, dù rủi ro tập trung vào các hệ thống dùng phiên bản dễ bị tấn công và chưa kịp cập nhật.

Trước thông tin này, nhiều tổ chức đã chủ động ngắt hoặc hạn chế dịch vụ để giảm thiểu rủi ro. Tổ chức Wikimedia (Wikimedia) áp dụng biện pháp phòng ngừa; một số trang của chính phủ Phần Lan, chính quyền địa phương tại Edinburgh và Đại học Geneva (University of Geneva) tạm thời không truy cập được. Nhiều cơ quan công quyền khác ở Vương quốc Anh cũng thực hiện các bước bảo vệ.

Slovakia tham gia các biện pháp phòng ngừa khi tối 21/10 tạm ngừng các trang của Bộ Nội vụ Slovakia (Ministerstvo vnútra SR), Cơ sở đăng ký hợp đồng trung ương (Centrálny register zmlúv, CRZ), Cơ sở đăng ký dự án trung ương (Centrálny register projektov, CRP), cùng mirri.gov.sk và eurofondy.gov.sk; Công ty Đường sắt Slovakia (Železničná spoločnosť Slovensko, ZSSK) cũng tạm dừng website. Lo ngại gia tăng khi chi tiết kỹ thuật được công bố có thể thu hút hacker. Chuyên gia Salil Kanhere từ Sydney dự báo sẽ có thêm các nỗ lực khai thác trong vài tuần tới, nhấn mạnh phần mềm hiện đại rất phức tạp và nhiều lỗ hổng tồn tại từ lâu nhưng nay AI giúp tìm ra nhanh hơn.

Bản vá đã sẵn có, song cảnh báo vẫn được đưa ra ở mức cao. Cơ quan An ninh Quốc gia Hoa Kỳ (National Security Agency) khuyến nghị nếu không thể vá ngay thì nên tạm dừng hệ thống; Trung tâm An ninh mạng Quốc gia Vương quốc Anh (National Cyber Security Centre) yêu cầu kiểm tra kỹ khả năng tồn tại “cửa hậu”. Cơ quan an ninh tại Liên minh châu Âu, Úc và Singapore phát đi khuyến cáo tương tự; Thủ tướng Nhật Bản Sanae Takaičiová kêu gọi các đơn vị vận hành web công cộng xác định việc sử dụng PHP và cân nhắc tạm tắt nếu cần. Công ty công nghệ Amazon (Amazon) ghi nhận nhiều nỗ lực tấn công trước cả khi thông tin lỗ hổng được công bố, chưa rõ nguồn rò rỉ.

Trường hợp này nêu bật mặt trái của AI trong an ninh mạng: công nghệ có thể phân tích khối lượng mã khổng lồ để tìm lỗi nhanh hơn con người, đồng thời cũng có thể giúp kẻ tấn công xây công cụ khai thác. Công ty OpenAI (OpenAI) coi đây là một trong các sự kiện an ninh đáng chú ý gần đây và cảnh báo AI có thể vừa phát hiện điểm yếu vừa tăng tốc phát triển công cụ tấn công. Với người dùng, việc truy cập web dùng PHP không đồng nghĩa bị xâm nhập; trách nhiệm chính thuộc về bên vận hành phải cập nhật ngay. Người dùng nên cảnh giác email và tin nhắn lừa đảo mạo danh cảnh báo bảo mật nhằm đánh cắp mật khẩu hoặc dữ liệu.