Ondrej Sury, tình nguyện viên đứng sau cuộc chạy đua vá lỗi PHP2Shell

Ondrej Sury, tình nguyện viên người Czech, đã đóng gói và phát hành nhanh bản vá cho hai lỗ hổng PHP2Shell, giúp nhiều website tránh được nguy cơ bị tấn công trên diện rộng.

Một tình nguyện viên gánh vai trò then chốt

Trên mạng xã hội X, nhà phát triển Ian Landsman từng lo ngại rằng việc phân phối PHP trên toàn cầu phụ thuộc quá nhiều vào một cá nhân, và nếu người này gặp sự cố thì nhiều hệ thống sẽ gặp rắc rối. Người được nhắc đến là Ondrej Sury. PHP hiện là ngôn ngữ lập trình đứng sau khoảng 70% website trên thế giới.

Ngày 21/10, hai lỗ hổng nghiêm trọng mang tên PHP2Shell bị công khai. Nhiều chuyên gia cảnh báo nếu bị khai thác thành công, Internet có thể chịu thiệt hại nặng nề. Kịch bản đó đã không xảy ra, và theo The Atlantic cùng BBC, phần lớn công lao thuộc về Sury.

Sury sống ở Cộng hòa Czech và không làm việc cho PHP Foundation, quỹ đứng sau PHP, mà tham gia duy trì ngôn ngữ này với tư cách tình nguyện viên. Ông được xem là người hùng thầm lặng khi giúp triển khai bản vá trong vòng 48 giờ, để vô số website và tổ chức kịp khắc phục. Một người dùng trên diễn đàn PHP Subreddit thậm chí nhận xét rằng ông đã “cứu Internet” trong ngày hôm đó.

Vai trò của Sury trong sự cố PHP2Shell

Ông hiện là Giám đốc kỹ thuật DNS tại tổ chức phi lợi nhuận Internet Systems Consortium. Hơn 20 năm qua, ông vẫn dành thời gian rảnh để duy trì các gói phần mềm PHP cho hai hệ điều hành Debian và Ubuntu. Công việc của ông là lấy mã nguồn từ dự án PHP rồi đóng gói thành phiên bản tương thích, giúp quản trị viên cài đặt lên máy chủ dễ dàng. Chính vị trí này khiến ông trở thành mắt xích quan trọng khi sự cố xảy ra.

Cuộc đua với thời gian

Hai lỗ hổng vốn đã được Calif Research và Wiz phát hiện từ trước, và hai công ty này phối hợp với PHP Foundation để chuẩn bị bản vá. Ngày phát hành dự kiến là 22/10. Tuy nhiên, thông tin lỗ hổng bất ngờ xuất hiện trên Hacker News vào ngày 21/10, buộc kế hoạch phải đẩy nhanh.

Với BBC, Sury cho biết ông nhận ra tình hình nghiêm trọng và thời gian chuẩn bị gói cập nhật không còn nhiều. Ông mô tả sự việc như một cuộc chạy đua quốc tế để cài bản cập nhật trước khi kẻ xấu kịp khai thác.

Dù chịu áp lực lớn, ông tin rằng kinh nghiệm và sự chuẩn bị từ trước đã giúp mình hoàn thành công việc. Phần lớn quy trình đã được tự động hóa sau hơn 20 năm. Ông không vận hành hệ thống nào dùng PHP, nhưng vẫn cảm thấy mình có trách nhiệm với người dùng Internet. Ông thừa nhận mọi việc sẽ phức tạp hơn nhiều nếu khi đó ông đang đi thuyền ngoài biển Adriatic, và may mắn là ông đã có thời gian chuẩn bị các gói phần mềm.

Ngoài việc sửa lỗi cho phiên bản mới, Sury còn tìm cách vá lỗ hổng cho các bản PHP ra mắt từ 10 năm trước. Nhờ vậy, doanh nghiệp nhỏ, trường học và các hệ thống cũ vẫn tiếp tục vận hành thay vì bị bỏ lại phía sau.

Quyên góp tăng mạnh và lời kêu gọi gửi tới các hãng công nghệ

Sau sự cố, khoản quyên góp cho công việc của ông tăng vọt. Chỉ trong 24 giờ, ông nhận được 10.000 USD, tương đương số tiền ông thường nhận trong cả năm.

Từ đó, ông cho rằng các công ty công nghệ lớn nên có trách nhiệm hơn trong việc hỗ trợ phần mềm mã nguồn mở mà họ đang sử dụng, trong đó có PHP. Theo ông, chỉ nhận mà không đóng góp lại sẽ gây tác dụng ngược về lâu dài.

AI và những thách thức bảo mật sắp tới

Sury cảnh báo AI đang đẩy nhanh việc phát hiện lỗ hổng bảo mật, và điều này mang lại lợi thế cho cả tin tặc lẫn bên phòng thủ. Theo ông, sự cố lần này có thể không phải trường hợp cá biệt, và các nhà phát triển cần chuẩn bị ứng phó nhanh hơn trong thời gian tới.

Nỗi lo về người kế nhiệm

Khi được hỏi về việc được gọi là một trong những người đã giúp “cứu Internet”, ông cho biết mình thấy công việc có ý nghĩa và mang lại cảm giác thỏa mãn. Tuy nhiên, ông nhấn mạnh nhiều tình nguyện viên khác cũng đóng góp lớn nhưng chưa được ghi nhận xứng đáng.

Ông cũng lo ngại việc duy trì các gói phần mềm sẽ gặp khó khăn nếu một ngày ông không thể tiếp tục. Các tình nguyện viên khác có thể tiếp quản, nhưng họ chưa tích lũy đủ kinh nghiệm, trong khi phần lớn trách nhiệm hiện vẫn đặt lên vai ông.

PHP2Shell nguy hiểm đến mức nào?

Nếu bị khai thác, hai lỗ hổng PHP2Shell cho phép kẻ tấn công thực thi mã từ xa trên hệ thống chưa được vá. Điều này tạo nguy cơ đánh cắp dữ liệu hoặc chiếm quyền kiểm soát máy chủ. Sự cố cũng làm dấy lên lo ngại tin tặc có thể dùng AI để tìm và khai thác điểm yếu nhanh hơn. Do mức độ nghiêm trọng cao, Guardian và Business Insider gọi đây là “tháng 10 đen tối” của ngành an ninh mạng.