Chạy stack cũ: vì sao website của bạn là mồi ngon cho hacker

Không còn bản vá bảo mật

Khi một phiên bản PHP, MySQL, hay OpenSSL hết vòng đời (EOL), nó không còn được cập nhật. Nghĩa là bất kỳ lỗ hổng nào được công bố sau đó đều tồn tại vĩnh viễn. Hacker chỉ cần scan port hoặc header để biết bạn đang chạy bản nào và bắn payload tương ứng.

Các lỗ hổng điển hình trong stack cũ

• PHP 7.4 (EOL từ 2022): Có nhiều lỗ hổng remote code execution (RCE) đã bị khai thác, ví dụ CVE-2019-11043 cho phép chèn code thông qua Nginx + PHP-FPM cấu hình sai. Một request crafted có thể chiếm toàn bộ server.
• MySQL cũ (5.6, 5.7 bản early): Từng có lỗ hổng privilege escalation, cho phép user thường leo lên quyền root. Kẻ tấn công có thể dump toàn bộ database, bao gồm mật khẩu user và dữ liệu nhạy cảm.
• OpenSSL 1.0.1: Vụ Heartbleed (CVE-2014-0160) cho phép đọc bộ nhớ server, rò rỉ private key SSL. Dù đã lâu, nhiều site stack cũ vẫn chưa vá → dữ liệu truyền qua HTTPS thực chất chẳng an toàn.
• Apache cũ: Lỗ hổng mod_proxy (CVE-2021-40438) cho phép SSRF, hacker dùng server bạn để quét nội bộ hoặc gọi dịch vụ khác trái phép.

Rủi ro thực tế khi chạy stack cũ

• Deface website: Hacker chèn code vào theme/plugin qua RCE, thay đổi giao diện hoặc nhúng malware.
• Chiếm server: Sau khi leo quyền qua MySQL hoặc PHP-FPM, hacker có thể cài backdoor, khai thác server để đào coin.
• Rò rỉ dữ liệu: Các lỗ hổng SSL/OpenSSL có thể để lộ cookie đăng nhập, private key, thông tin thẻ tín dụng.
• SEO Spam: Website bị chèn link bẩn, Google đánh dấu site nguy hiểm, traffic rơi thẳng đứng.

Ví dụ thực tế

Vào năm 2019, một chiến dịch tấn công nhắm vào các site WordPress chạy PHP-FPM + Nginx cấu hình sai. Payload khai thác CVE-2019-11043 cho phép hacker chèn ?a=/bin/bash+-c+'id' vào query string, kết quả là thực thi lệnh trực tiếp trên server. Nhiều website thương mại điện tử mất toàn bộ dữ liệu chỉ vì không nâng cấp PHP và vá bảo mật kịp thời.

Kết luận

Stack cũ không chỉ “chậm hơn” mà còn là quả bom nổ chậm. Từ RCE, privilege escalation, SSL leak đến SSRF – mỗi lỗ hổng đều có PoC công khai và tool scan tự động. Hacker không cần nhắm riêng bạn, mà chỉ cần quét diện rộng, website cũ tự động thành mục tiêu. Nếu muốn website an toàn, nâng cấp stack (PHP, MySQL, web server, OpenSSL) là việc bắt buộc, không phải tùy chọn.