php

Giám đốc điều hành của nền tảng thưởng lỗi Immunefi, Mitchell Amador, đã cảnh báo rằng người dùng Internet vẫn phải đối mặt với rủi ro tấn công mạng do lỗ hổng PHP gây ra, đặc biệt là các trang web nhỏ có tốc độ nâng cấp khẩn cấp chậm, có thể mất vài tuần để hoàn tất việc vá lỗi. Ông cho biết, "Ngày tận thế của lỗ hổng" đang đến theo kế hoạch, tức là chi phí phát hiện lỗ hổng trở nên rẻ hơn, trong khi chi phí khắc phục lỗ hổng vẫn cao. Ông khuyên người dùng trong vài tuần tới nên coi bất kỳ trang web nào mà họ đã đăng nhập là có thể đã bị xâm phạm, tránh sử dụng lại mật khẩu, giữ cảnh giác khi kết nối ví mã hóa và thu hồi quyền truy cập token không xác định.Trước đó, Quỹ PHP đã thừa nhận rằng do thiếu nguồn lực, họ đã trì hoãn việc sửa chữa một lỗ hổng bảo mật nghiêm trọng được phát hiện lần đầu vào năm 2024. Các nhà phát triển PHP đã phát hành bản vá khẩn cấp cho hai lỗ hổng nghiêm trọng vào cùng ngày, nhưng các trang web vẫn cần tự thực hiện nâng cấp. Giám đốc điều hành Cloudflare, Matthew Prince, cho biết, trong vòng 24 giờ sau khi lỗ hổng PHP được công khai, mạng đã ghi nhận hàng triệu lần cố gắng khai thác, thậm chí đã có hàng nghìn lần cố gắng trước khi công bố. Theo ước tính của W3Techs, PHP hỗ trợ khoảng 69% các trang web có ngôn ngữ lập trình phía máy chủ đã biết, những lỗ hổng này có thể cho phép kẻ tấn công phát tán phần mềm độc hại hoặc tiêm mã độc vào trang web.Cục Điều tra Liên bang Hoa Kỳ cũng cảnh báo rằng những lỗ hổng này có thể cho phép các hành vi xấu "thực thi mã từ xa trong lõi PHP, do đó có thể gây nguy hiểm cho dữ liệu nhạy cảm và mạng". Amador đã cảnh báo trong một cuộc phỏng vấn với Cointelegraph vào tháng 6 rằng sự phổ biến của các mô hình AI tiên tiến đã thay đổi cục diện an ninh mạng, khiến kẻ tấn công chiếm ưu thế, dẫn đến sự xuất hiện của "ngày tận thế lỗ hổng" và gây ra sự gia tăng các cuộc tấn công hacker DeFi. Immunefi là nền tảng thưởng lỗi lớn nhất thế giới, đã trả 140 triệu đô la cho 650 giao thức tính đến nay.

Một nhà nghiên cứu đã sử dụng lỗ hổng PHP để thành công trong việc giải mã thử thách "Steal My Bitcoin".Giải thưởng của thử thách này là 0.02511679 BTC. Tuy nhiên, bên tổ chức thử thách đã phát hiện ra rằng khóa ví lưu trữ trên máy chủ là sai, cuối cùng họ buộc phải chuyển giải thưởng cho nhà nghiên cứu này một cách thủ công.

Theo báo cáo của Reuters vào ngày 23 tháng 10, Elizabeth Barron, Giám đốc điều hành của Quỹ PHP, một tổ chức phi lợi nhuận hỗ trợ ngôn ngữ mã nguồn mở PHP, cho biết trong một cuộc phỏng vấn qua email vào thứ Sáu rằng quỹ đang thiếu hụt nghiêm trọng. Bà nói rằng các sự kiện gần đây cho thấy các doanh nghiệp và chính phủ phụ thuộc rất nhiều vào PHP, và với sự phụ thuộc này, quỹ PHP rõ ràng là không đủ.Barron cho biết quỹ hiện chỉ có 1 nhân viên toàn thời gian, đó là bà, cùng với 14 nhân viên hợp đồng chủ yếu làm việc bán thời gian, quỹ hoạt động chủ yếu từ các khoản quyên góp và tài trợ. Sự gia tăng mã liên quan đến trí tuệ nhân tạo đã làm khối lượng công việc của quỹ tăng gấp đôi. Số lượng đề xuất thay đổi mã mà dự án PHP nhận được gần như gấp đôi so với một năm trước, nhưng số lượng người đóng góp không tăng gấp đôi. Bà cho biết việc xem xét các đóng góp mã và báo cáo lỗ hổng cần rất nhiều công sức và kinh nghiệm.Reuters cho biết, trong tuần này đã phát hiện hai lỗ hổng nghiêm trọng của PHP, dẫn đến việc các trang web trên toàn cầu khẩn cấp sửa chữa, cho thấy ngôn ngữ mã nguồn mở khoảng ba mươi năm này rất quan trọng đối với internet. Bài viết cho biết PHP có thể hỗ trợ khoảng 70% trang web trên toàn cầu, hiện chưa thấy bằng chứng nào cho thấy các lỗ hổng này đã bị khai thác trước khi được công bố. Bài báo được phóng viên Toby Sterling gửi từ Amsterdam.

Nền tảng chia sẻ lỗ hổng an ninh thông tin quốc gia (CNVD) đã phát hành "Thông báo an ninh về phân tích và đề xuất sửa chữa lỗ hổng thực thi mã từ xa PHP", trong đó khuyến nghị người dùng bị ảnh hưởng nên chú ý theo dõi thông tin chính thức, tải xuống và cập nhật lên phiên bản mới nhất qua các kênh chính thức. Đối với những người dùng tạm thời không thể cập nhật, có thể thực hiện các biện pháp để giảm thiểu một số đường tấn công, giảm thiểu mối đe dọa từ lỗ hổng, liên tục giám sát các hành vi như tiến trình PHP thoát bất thường, gọi lệnh hệ thống bất thường, tạo tiến trình lạ, ghi tệp bất thường, và lưu giữ nhật ký để phân tích nguồn gốc.CNVD trong các khuyến nghị bảo vệ cho biết, các đơn vị vận hành hệ thống thông tin nên tăng cường bảo vệ an ninh, tổng hợp toàn bộ tài sản mạng của đơn vị, theo nguyên tắc không cần thiết thì không kết nối mạng, thu hẹp diện tiếp xúc công khai của hệ thống thông tin; các đơn vị vận hành tạm thời không đủ điều kiện sửa chữa nên thực hiện các biện pháp ứng phó tạm thời như cách ly mạng, hạn chế truy cập mạng, ngừng hoạt động các hệ thống kinh doanh không cần thiết.

Cơ quan Dịch vụ Tài chính Bang New York, Hoa Kỳ, cho biết đã phát hành cảnh báo về hai lỗ hổng PHP quan trọng, kêu gọi các thực thể được quản lý nhanh chóng xác định và khắc phục các lỗ hổng đã biết bị khai thác.

Theo báo cáo của Bloomberg, đội ngũ tình báo đe dọa của Amazon phát hiện ra rằng, tin tặc đã cố gắng khai thác các lỗ hổng liên quan vài ngày trước khi hai lỗ hổng bảo mật của PHP được công khai. Sau khi các lỗ hổng được công bố vào thứ Tư, hoạt động của tin tặc đã mở rộng hơn nữa, Amazon cho biết các lỗ hổng liên quan đang bị khai thác rộng rãi, nhưng không tiết lộ thông tin cụ thể về các nạn nhân.Công ty an ninh mạng Palo Alto Networks phát hiện ra rằng, trên toàn cầu có hơn 22,6 triệu trường hợp bị lộ có liên quan đến các lỗ hổng này. Các nhà nghiên cứu của Wiz ước tính rằng lỗ hổng này có thể ảnh hưởng đến khoảng 70% internet và đã tồn tại hơn mười năm, trong khi Phó Giám đốc tình báo và phản ứng mạng của NCC Group, Matt Hull, cảnh báo rằng một số hệ thống có lỗ hổng có thể đã bị xâm nhập, thậm chí bị cài đặt cửa hậu.

Cục An ninh mạng và Thông tin của Trung Quốc (NVDB) đã phát hiện ra rằng PHP có hai lỗ hổng siêu nghiêm trọng cho phép thực thi mã từ xa, gây ra mối đe dọa nghiêm trọng. PHP là ngôn ngữ kịch bản phía máy chủ mã nguồn mở được sử dụng rộng rãi trong phát triển Web, kẻ tấn công không xác thực có thể lợi dụng hai lỗ hổng này để thực thi mã tùy ý từ xa, dẫn đến việc máy chủ bị kiểm soát, thông tin nhạy cảm bị rò rỉ, gián đoạn dịch vụ và các mối nguy hại khác.Phạm vi bị ảnh hưởng bao gồm các phiên bản 8.5 dưới 8.5.12, 8.4 dưới 8.4.27, 8.3 dưới 8.3.36, 8.2 dưới 8.2.35, cũng như các phiên bản 8.1 và các phiên bản trước đó. Nhóm an ninh của PHP đã khắc phục lỗ hổng và phát hành thông báo an ninh.NVDB khuyến nghị các đơn vị và người dùng liên quan ngay lập tức kiểm tra, kịp thời nâng cấp lên phiên bản an toàn mới nhất, hoặc thực hiện các biện pháp bảo vệ tạm thời như ngừng hoạt động, tắt chức năng tải lên phiên bản, cách ly mạng, hạn chế truy cập mạng, và tăng cường giám sát và quản lý, kịp thời thay đổi tài khoản, mật khẩu và khóa chứng thực.

BTCPay Server đã cập nhật triển khai WooCommerce/WordPress tùy chọn thông qua trình cài đặt Docker của mình để đối phó với lỗ hổng PHP nghiêm trọng được công bố gần đây. Người dùng chạy WooCommerce trên BTCPay Server nên cập nhật ngay lập tức, có thể nhấp vào "Update" trong BTCPay Server để hoàn tất.

Trung tâm An ninh Tencent Cloud đã phát hiện rằng PHP đã bị lộ ra lỗ hổng thực thi mã từ xa, với các mã lỗ hổng lần lượt là CVE-2026-109618, CVE-2026-109619, mã hiệu "php2shell". Lỗ hổng này có thể cho phép kẻ tấn công từ xa không cần xác thực gửi yêu cầu POST multipart đặc biệt, kích hoạt sự hỏng hóc bộ nhớ và cuối cùng thực hiện mã từ xa, từ đó hoàn toàn kiểm soát máy chủ và gây ra các mối nguy hiểm khác.Tencent Cloud khuyến nghị tiến hành tự kiểm tra an ninh kịp thời, nếu nằm trong phạm vi bị ảnh hưởng, xin vui lòng cập nhật và sửa chữa kịp thời để tránh bị kẻ tấn công bên ngoài xâm nhập.

Theo dữ liệu từ GMGN, trong 24 giờ qua, 5 mã token có dòng tiền thông minh ròng vào nhiều nhất như sau:PHP-UP (E1FT....smh): Dòng tiền ròng vào 1 nghìn đô la, trong 24 giờ qua tăng 512.7%, hiện báo $0.0001.Pokémon (D42T....vb1): Dòng tiền ròng vào 1 nghìn đô la, trong 24 giờ qua giảm -38%, hiện báo $0.0007.XHOLDINGS (5SPg....ump): Dòng tiền ròng vào 699 đô la, trong 24 giờ qua giảm -18.8%, hiện báo $0.0001.Naseem (9PSZ....ump): Dòng tiền ròng vào 570 đô la, trong 24 giờ qua tăng 37.1%, hiện báo $0.0001.XMR (WXMR....eJp): Dòng tiền ròng vào 544 đô la, trong 24 giờ qua giảm -3.2%, hiện báo $582.4483.

Cảnh báo an ninh của Slow Mist cho biết, PHP đã phát hành thông báo an ninh vào ngày 20 tháng 10, công bố hai lỗ hổng an ninh nghiêm trọng có thể dẫn đến thực thi mã từ xa (RCE), được đánh số lần lượt là CVE-2026-109618 và CVE-2026-109619, với điểm số CVSS v4 đều là 9.2. Hiện tại, PHP vẫn chưa phát hành bản vá sửa lỗi, các phiên bản bị ảnh hưởng cụ thể và điều kiện khai thác vẫn đang chờ xác nhận.Theo thông tin hiện có, PHP dự kiến sẽ phát hành bản cập nhật an ninh vào lúc 14:00 UTC ngày 21 tháng 10 (22:00 giờ Bắc Kinh). Slow Mist khuyến nghị các tổ chức liên quan nhanh chóng kiểm tra phiên bản PHP trên máy chủ và hệ thống kinh doanh, chú ý đến các dịch vụ PHP công khai, và kịp thời nâng cấp sau khi bản vá được phát hành; các hệ thống không thể nâng cấp tạm thời nên hạn chế nguồn truy cập và thực hiện biện pháp cách ly nếu cần thiết.

ChainCatcher news, several Philippine banks, including UnionBank, Rizal Commercial Banking, Cantilan Bank, and Rural Bank of Guinobatan, plan to launch a peso stablecoin named PHPX later this year, initially operating on the Hedera Distributed Ledger Technology (DLT) network.This project is initiated by the Singapore startup Just Finance, and the banks will play a significant governance role. Cross-border payments, especially remittances, are one of the key use cases for this project.

ChainCatcher live report, at the Solana 2024 Breakpoint conference, the CEO of the Philippine cryptocurrency exchange Coins.ph, Wei Zhou, announced the launch of the Philippine peso stablecoin PHPC on Solana.PHPC will go live on Solana in the next quarter and will introduce PHPC/USDT and PHPC/USDC liquidity pools to Solana.It is reported that Coins.ph is a leading crypto application in Southeast Asia, with over 16 million users, offering authorized fiat and cryptocurrency wallet and trading services, including cryptocurrency, e-wallets, and payments. The company is regulated by the Bangko Sentral ng Pilipinas (BSP) and holds a virtual currency and electronic money issuer license issued by the central bank.

ChainCatcher message, the stablecoin PHPC officially supported by the Central Bank of the Philippines is now live on the Ronin Network, with technical support provided by the Philippine crypto exchange Coins.ph.

ChainCatcher news, the Central Bank of the Philippines has approved a stablecoin called PHPC, which is pegged to the Philippine peso. This move aims to facilitate cost-effective remittances, supported by cash and cash equivalents from Philippine banks, and will initially be launched on the Coins.ph platform, with plans to expand to other platforms.It is understood that PHPC will be the first retail-focused stablecoin backed by the peso, offering real-time trading around the clock.