Chainguard bị PHP chỉ trích vì tiết lộ sớm lỗ hổng bảo mật
"PHP developers accuse Chainguard of prematurely disclosing fixes for two critical vulnerabilities (CVE-2026-109618 and CVE-2026-109619) in PHP, potentially allowing attackers to study the fix before widespread patching. These vulnerabilities allow unauthenticated code execution on affected servers. Chainguard defends its actions, stating they shipped fixes due to reports of active exploitation."
Các lỗ hổng thực thi mã từ xa trong PHP có thể cho phép kẻ tấn công chiếm quyền kiểm soát máy chủ và đánh cắp dữ liệu. Điều này đặc biệt nghiêm trọng vì PHP được sử dụng rộng rãi.
Việc khai thác các lỗ hổng này có thể gây gián đoạn dịch vụ, mất dữ liệu khách hàng và thiệt hại uy tín cho các doanh nghiệp sử dụng PHP. Chi phí khắc phục sự cố cũng có thể rất lớn.
PHP vừa cáo buộc Chainguard làm lộ các lỗ hổng nghiêm trọng (CVE-2026-109618 và CVE-2026-109619) trong PHP trước khi công bố chính thức. Các lỗ hổng này cho phép kẻ tấn công thực thi mã từ xa trên máy chủ chưa được vá.
Đây là vấn đề lớn vì PHP vẫn là nền tảng của nhiều trang web. Việc này cũng gây khó hiểu, khi Chainguard tự quảng cáo là công ty bảo mật chuỗi cung ứng, nhưng lại bị chỉ trích vì cách xử lý thông tin.
Sự việc bắt đầu khi các ID CVE xuất hiện trên diễn đàn và mạng xã hội vào ngày 21 tháng 10, kèm theo thông tin sai lệch về thời điểm phát hành và mức độ nghiêm trọng. PHP sau đó đã đẩy nhanh thời gian công bố bản vá.
Calif, OpenAI và Wiz đã tìm ra các lỗ hổng này từ tháng 8 đến tháng 9, sử dụng mô hình AI. Sau đó, Chainguard cũng phát hiện ra các lỗ hổng tương tự bằng AI. CEO Chainguard, Dan Lorenc, khẳng định họ đã phát hành bản vá vì nhận thấy có dấu hiệu khai thác thực tế. Ông cho rằng việc ưu tiên bảo vệ người dùng quan trọng hơn việc tuân thủ nghiêm ngặt quy trình công bố lỗ hổng. https://news.ycombinator.com/item?id=50182987 là nơi thảo luận chi tiết hơn về sự việc này.
Câu hỏi thường gặp
CVE-2026-109618 và CVE-2026-109619 là gì?
Đây là hai mã định danh cho các lỗ hổng bảo mật trong PHP, cho phép kẻ tấn công thực thi mã từ xa trên máy chủ. Các lỗ hổng này được phát hiện từ tháng 8 đến tháng 9 năm 2026.
Chainguard đã làm gì gây tranh cãi?
Chainguard đã công bố bản vá cho các lỗ hổng PHP trước khi PHP chính thức công bố, vi phạm quy trình công bố lỗ hổng thông thường. CEO Chainguard cho rằng họ làm vậy để bảo vệ người dùng trước các cuộc tấn công đang diễn ra.
PHP phản ứng thế nào?
PHP chỉ trích Chainguard vì đã làm lộ thông tin về lỗ hổng trước thời hạn, gây khó khăn cho việc vá lỗi và có thể tạo cơ hội cho kẻ tấn công nghiên cứu cách khai thác.
Góc nhìn cộng đồng
Tổng hợp từ thảo luận công khai. Chỉ những ý có link nguồn. Không thêm ý kiến khi không tìm thấy.
- Hacker NewsChrisArchitect
Nhiều người dùng cho rằng việc Chainguard phát hành bản vá sớm là hợp lý vì họ đã phát hiện ra các cuộc tấn công đang diễn ra. Một số người khác lại lo ngại rằng việc này có thể phá vỡ quy trình công bố lỗ hổng và gây khó khăn cho các nhà phát triển.
Xem thảo luận ➔
Góc nhìn của Orange Cloud
Theo chúng tôi, việc Chainguard phát hành bản vá sớm có thể giúp giảm thiểu rủi ro cho các doanh nghiệp Việt Nam sử dụng PHP. Tuy nhiên, việc này cũng cho thấy sự phức tạp trong quy trình công bố lỗ hổng và tầm quan trọng của việc phối hợp giữa các bên liên quan. Các doanh nghiệp nên cập nhật PHP ngay khi có bản vá mới, đồng thời theo dõi thông tin từ các nguồn bảo mật uy tín.