Hai lỗ hổng nghiêm trọng được gọi là “PHP2Shell” đang thu hút sự chú ý trong lĩnh vực an toàn thông tin của ngành crypto. Các nhà phát triển PHP đã phát hành bản vá khẩn cấp vào ngày 21/10, với mức độ nghiêm trọng 9,2/10. Kẻ tấn công có thể truy cập máy chủ bị ảnh hưởng mà không cần mật khẩu, đánh cắp dữ liệu nhạy cảm và thậm chí tiếp tục kiểm soát website.
Phạm vi ảnh hưởng không chỉ giới hạn trong ngành crypto. Cloudflare đã xác nhận các đối tượng tấn công thử khai thác lỗ hổng nhằm vào khách hàng của họ; một số website của chính phủ châu Âu cũng từng tạm thời đóng cửa để phòng ngừa. Với các dịch vụ crypto dùng PHP để xử lý đăng nhập tài khoản, yêu cầu thanh toán hoặc chức năng quản trị, tốc độ triển khai bản vá sẽ quyết định thời gian hệ thống còn bị phơi nhiễm.
Cơ chế xử lý bộ nhớ của PHP trở thành điểm xâm nhập
PHP là phần mềm phía máy chủ được nhiều website sử dụng để xử lý các yêu cầu ở phía sau. Khi người dùng đăng nhập, gửi yêu cầu thanh toán hoặc gọi một chức năng trên website, PHP thường tham gia xử lý dữ liệu liên quan. Các nhà nghiên cứu phát hiện kẻ tấn công có thể thao túng cách PHP xử lý bộ nhớ máy tính, từ đó tiếp cận những thông tin vốn phải được bảo vệ.
Wiz Research cho biết việc khai thác thành công các lỗ hổng này có thể giúp kẻ tấn công lấy được mật khẩu, token xác thực và khóa API. Những thông tin xác thực số này không chỉ liên quan đến tài khoản trên website mà còn có thể được dùng để truy cập các dịch vụ bên thứ ba đã kết nối. Với các website quản lý tài sản số hoặc xử lý thanh toán crypto, việc rò rỉ thông tin xác thực có thể khiến phạm vi sự cố mở rộng.
Cổng thanh toán crypto và sàn nhỏ cần rà soát trước
Hiện có ba nhóm dịch vụ được xem là có mức độ phơi nhiễm đáng lưu ý. Nhóm đầu tiên là các cổng thanh toán crypto. Những đơn vị sử dụng tích hợp thanh toán dựa trên PHP, đặc biệt là kết nối với WooCommerce, có thể đối mặt với rủi ro nếu máy chủ chưa được cập nhật. Binance Pay, Crypto.com Pay, BitPay, CoinGate và CoinPayments đều có thông tin công khai về việc cung cấp tích hợp WooCommerce. Tuy nhiên, việc có tích hợp này không đồng nghĩa hạ tầng của các công ty nói trên chắc chắn tồn tại lỗ hổng.
Nhóm thứ hai là các sàn giao dịch tiền số quy mô nhỏ. Nếu cổng tài khoản hoặc hệ thống thanh toán của sàn chạy trên môi trường PHP bị ảnh hưởng, việc máy chủ bị xâm nhập có thể khiến thông tin khách hàng và các thông tin xác thực nhạy cảm bị lộ. So với các nền tảng lớn thường có kiến trúc phân tách và quy trình cập nhật bản vá hoàn thiện hơn, các nhà cung cấp nhỏ cần ưu tiên kiểm tra website, hệ thống quản trị và plugin bên thứ ba có còn sử dụng phiên bản bị ảnh hưởng hay không.
Nhóm thứ ba là website DeFi và ví điện tử. Nếu giao diện website bị chỉnh sửa, kẻ tấn công có thể điều hướng người dùng tới địa chỉ ví giả mạo hoặc dụ họ phê duyệt giao dịch độc hại. Tuy nhiên, hiện chưa có bằng chứng được xác minh cho thấy các nhà cung cấp dịch vụ thanh toán nói trên hoặc những sàn giao dịch lớn đã bị xâm nhập do PHP2Shell.
Blockchain lõi và khóa riêng lưu trữ ngoại tuyến không bị tác động trực tiếp
Cần phân biệt rủi ro ở lớp website với an toàn của tài sản trên nền tảng blockchain. PHP2Shell nhắm trực tiếp vào các máy chủ website chạy PHP, không tác động trực tiếp đến mạng blockchain, bản thân smart contract hoặc khóa riêng được lưu trữ an toàn trong ví phần cứng ngoại tuyến.
Tương tự, việc một sản phẩm thanh toán crypto có tích hợp PHP hoặc WooCommerce không đủ để kết luận hệ thống giao dịch lõi của công ty đã bị tấn công. Rủi ro thực tế phụ thuộc vào việc máy chủ cụ thể có chạy phiên bản bị ảnh hưởng hay không, bản vá đã được cài đặt chưa, cũng như hệ thống tài khoản, giao diện thanh toán và chức năng quản trị có được phân tách hay không.
Nếu đã cập nhật bản vá kịp thời hoặc tách hạ tầng quan trọng khỏi các dịch vụ website dễ bị tấn công, các sàn lớn có thể có mức độ phơi nhiễm thấp hơn. Kraken từng cho biết hệ thống backend cốt lõi của họ đã hoàn tất chuyển đổi từ PHP sang Rust trong năm 2025. Vì vậy, mối liên hệ trực tiếp giữa hệ thống backend của Kraken và các lỗ hổng này cần được đánh giá theo môi trường triển khai cụ thể, thay vì chỉ dựa vào nhãn công nghệ của website.
Người dùng không thể tự vá máy chủ của sàn
Việc khắc phục lỗ hổng PHP phải do đơn vị vận hành website, nhà cung cấp dịch vụ thanh toán hoặc nhà cung cấp hạ tầng lưu trữ thực hiện. Người dùng thông thường không thể tự cài bản vá trên máy chủ của một sàn giao dịch. Người dùng chỉ có thể theo dõi thông báo cập nhật bảo mật từ nền tảng, thận trọng với cảnh báo đăng nhập bất thường, email yêu cầu đặt lại mật khẩu và thông báo thay đổi địa chỉ ví; đồng thời tránh nhập mật khẩu sàn, khóa API hoặc phê duyệt giao dịch không rõ nguồn gốc trên các website đáng ngờ.
Các thông tin đã được xác nhận đến nay gồm việc các nhà phát triển PHP phát hành bản sửa lỗi khẩn cấp cho hai lỗ hổng, Cloudflare phát hiện các nỗ lực khai thác nhằm vào khách hàng và một số website của chính phủ châu Âu tạm thời đóng cửa. Việc một sàn giao dịch crypto, cổng thanh toán hoặc website ví cụ thể có bị ảnh hưởng hay không vẫn phụ thuộc vào phiên bản máy chủ, tình trạng cập nhật bản vá và biện pháp phân tách mạng. Không thể đưa ra kết luận chỉ vì dịch vụ đó có sử dụng tích hợp PHP.