Nhà sáng lập Binance, CZ, vừa lên tiếng cảnh báo người dùng internet nên thận trọng khi lướt web, sau khi giới nghiên cứu phát hiện hai lỗ hổng PHP nghiêm trọng đang bị khai thác tích cực. Các lỗ hổng này có thể ảnh hưởng tới 70% website trên toàn cầu, bao gồm cả những nền tảng phổ biến như WordPress và Magento, biến đây thành một trong những sự kiện an ninh mạng lớn nhất năm nay, tác động tới cả crypto lẫn internet nói chung.
Chuyện gì đã xảy ra
CZ, nhà sáng lập Binance, đăng cảnh báo vào ngày 23/10/2026, kêu gọi người dùng cẩn trọng khi truy cập website trong những ngày tới. Ông cho biết PHP, ngôn ngữ được sử dụng rộng rãi cho WordPress và Magento, đã vá hai lỗ hổng nghiêm trọng là CVE-2026-109618 và CVE-2026-109619 vào ngày 21/10/2026. Tuy nhiên, thông tin chi tiết đã bị rò rỉ trước khi công bố chính thức, khiến hoạt động khai thác bắt đầu gần như ngay lập tức. Đội ngũ tình báo đe dọa của Amazon phát hiện các nỗ lực khai thác sớm nhất từ ngày 17/10/2026, tức trước cả khi bản vá công khai được phát hành. Palo Alto Networks ghi nhận hơn 22,6 triệu hệ thống trên toàn thế giới bị phơi nhiễm. Các nhà nghiên cứu tại Wiz ước tính lỗ hổng này có thể ảnh hưởng tới khoảng 70% internet, đồng thời cho rằng vấn đề cốt lõi đã tồn tại hơn một thập kỷ. Matt Hull của NCC Group cảnh báo một số hệ thống có thể đã bị xâm nhập và cài backdoor, theo WuBlockchain.
Nguồn gốc vấn đề
Haseeb Qureshi, managing partner của Dragonfly, cho rằng crypto đang trải qua làn sóng tấn công mạng sớm hơn so với phần còn lại của internet, bởi các cuộc tấn công on-chain dễ quy đổi thành lợi nhuận trực tiếp hơn. Ông lưu ý số lượng vụ tấn công đã tăng mạnh, nhưng tổng thiệt hại tính theo năm lại gần như đi ngang so với 2025, nghĩa là thiệt hại trung bình mỗi vụ đã giảm khi các giao thức lớn áp dụng các biện pháp phòng thủ bằng AI. Đồng sáng lập Ethereum, Vitalik Buterin, phản hồi tranh luận về việc AI hỗ trợ phát hiện lỗ hổng, nói rằng ông chưa từng kỳ vọng bên phòng thủ sẽ tự động vượt mặt kẻ tấn công. Ông cho rằng lợi thế bền vững đòi hỏi những thay đổi sâu hơn, bao gồm việc xác minh hình thức (formal verification), đồng thời kêu gọi chi hơn 1% GDP cho an ninh mạng và an ninh sinh học, theo WuBlockchain.
Vì sao điều này quan trọng với bạn
Với người dùng crypto, đây là lời nhắc rằng phần lớn các vụ hack vẫn bắt nguồn từ hạ tầng web thông thường, chứ không phải từ smart contract. Giao diện ví, cổng sàn giao dịch và front-end DeFi thường chạy trên các hệ thống nền PHP, nên máy chủ chưa được vá có thể làm lộ thông tin đăng nhập hoặc seed phrase. Các dự án nhỏ đối mặt rủi ro cao nhất, vì theo Qureshi, kẻ tấn công ngày càng nhắm vào những dự án có ngân sách bảo mật yếu. Các nền tảng lớn hơn khi bổ sung giám sát bằng AI có thể giảm thiệt hại mỗi vụ, nhưng các đội ngũ nhỏ chưa đủ nguồn lực để theo kịp. Bất kỳ ai quản lý website cá nhân, cổng ví hay blog công ty đều nên kiểm tra xem bản vá ngày 21/10 đã được cài đặt hay chưa, và xem các plugin lỗi thời là mối đe dọa hiện hữu, không phải nguy cơ trong tương lai.
Câu hỏi lớn hơn
Nếu AI có thể giúp cả kẻ tấn công lẫn bên phòng thủ phát hiện cùng một lỗ hổng với tốc độ ngang nhau, liệu khả năng phát hiện tốt hơn có thực sự giảm thiệt hại trong thực tế, hay chỉ đẩy nhanh tốc độ di chuyển của cả hai phía? Chính sự không chắc chắn của Buterin về việc liệu bên phòng thủ có thể vượt lên hay không cho thấy ngay cả chuyên gia cũng chưa rõ ai sẽ hưởng lợi nhiều nhất khi các công cụ này lan rộng khắp crypto và internet nói chung.
Những điều cần theo dõi
Các đội ngũ an ninh mạng sẽ tiếp tục theo dõi tình trạng khai thác CVE-2026-109618 và CVE-2026-109619 trong suốt phần còn lại của năm 2026. Các đơn vị vận hành website cần xác nhận đã áp dụng bản vá ngày 21/10 ngay lập tức. Bên cạnh đó, quy định đầu tiên của OCC theo GENIUS Act về lợi suất stablecoin sẽ có hiệu lực từ ngày 18/01/2027, một lời nhắc rằng các mốc thời gian về bảo mật và pháp lý của crypto hiện đang song hành với nhau.
