WordPress vá lỗ hổng nghiêm trọng: Nguy cơ thực thi mã từ xa

Bạn có bao giờ tự hỏi website WordPress của mình đang đứng trước hiểm họa nào không? Khi mà hàng triệu trang web trên toàn cầu đang vận hành trên nền tảng này, mỗi lỗ hổng bảo mật được phát hiện đều có thể trở thành cơn ác mộng thực sự. Và lần này, WordPress vừa phát hành bản vá cho một lỗ hổng được đánh giá ở mức nghiêm trọng – mức cao nhất trong thang đo bảo mật.

Tôi đã dành 20 năm theo dõi những cuộc chiến không ngừng nghỉ giữa hacker và những người bảo vệ hệ thống. Mỗi lần một lỗ hổng như thế này xuất hiện, tôi lại nhớ đến vô số website đã bị xâm nhập chỉ vì chậm trễ trong việc cập nhật. Lần này cũng không ngoại lệ.

Lỗ hổng CVE-2026-87902: Điều gì đang đe dọa website của bạn?

Vào ngày 22 tháng 9 năm 2026, WordPress đã phát hành phiên bản 7.1.2 để vá một lỗ hổng cực kỳ nguy hiểm, được gán mã CVE-2026-87902. Điều khiến lỗ hổng này trở nên đáng sợ không chỉ nằm ở mức độ nghiêm trọng của nó, mà còn ở cách nó được khai thác.

Theo đánh giá từ chính đội ngũ bảo mật của WordPress, lỗ hổng này được chấm 9.2 điểm CVSS – một con số gần như chạm trần thang điểm nguy hiểm. Và điều tồi tệ nhất là: kẻ tấn công không cần bất kỳ tài khoản nào trên website của bạn, cũng không cần bất kỳ hành động nào từ người dùng đã đăng nhập, để có thể khai thác lỗ hổng này.

Hãy tưởng tượng: một kẻ tấn công ở bất kỳ đâu trên thế giới, chỉ với một yêu cầu HTTP được thiết kế khéo léo, có thể khiến website của bạn tải một tệp PHP từ bên ngoài thư mục theme. Và trên một số máy chủ nhất định, bước tiếp theo có thể là thực thi mã độc – nghĩa là kẻ tấn công có thể chạy chương trình của riêng chúng trên chính máy chủ của bạn.

Ai bị ảnh hưởng và mức độ nguy hiểm thực sự

Phạm vi ảnh hưởng của lỗ hổng này rộng đến mức đáng báo động. Mọi phiên bản WordPress từ 4.7.0 đến 7.1.1 đều nằm trong tầm ngắm. Điều này có nghĩa là ngay cả những website đã cập nhật lên phiên bản 7.1.1 chỉ vài ngày trước đó – trong đợt phát hành bảo mật ngày 17 tháng 9 – vẫn cần phải cập nhật thêm một lần nữa.

Đây là một lỗ hổng hoàn toàn khác biệt so với những lỗ hổng đã được vá trong đợt phát hành trước đó. Nó không phải là một biến thể của cùng một vấn đề, mà là một lỗ hổng độc lập đòi hỏi một bản vá riêng biệt.

Tuy nhiên, cần phải nói rõ một điều để tránh gây hoang mang quá mức: lỗ hổng này không có nghĩa là mọi website WordPress đều có thể bị thực thi mã từ xa ngay lập tức. WordPress gọi đây là lỗ hổng có thể dẫn đến thực thi mã trên "một số máy chủ" – và chữ "một số" đó là chìa khóa để hiểu rõ mức độ rủi ro thực tế.

Cơ chế khai thác: Từ lỗi nhỏ đến thảm họa

Để hiểu rõ mức độ nguy hiểm, hãy cùng tôi mổ xẻ cơ chế khai thác của lỗ hổng này.

Vấn đề nằm ở cách WordPress chọn tệp template cho một trang. Một trong những tên tệp mà nó tạo ra được xây dựng từ một phần của địa chỉ web. Trên các phiên bản bị ảnh hưởng, WordPress đã không chạy giá trị đó qua cơ chế kiểm tra traversal ../ – một biện pháp bảo vệ mà các đoạn mã lân cận đã sử dụng.

Hậu quả là kẻ tấn công có thể lợi dụng điều này để khiến website tải một tệp PHP từ bên ngoài thư mục theme. Nhưng để biến điều đó thành thực thi mã độc, cần thêm một điều kiện thứ hai: máy chủ phải đã tồn tại một tệp PHP mà khi được tải sẽ thực hiện một hành động hữu ích cho kẻ tấn công.

Chuyên gia bảo mật Robert Ressl – người đã phát hiện và báo cáo lỗ hổng này một cách riêng tư qua chương trình HackerOne của WordPress vào tháng 7 – đã công bố một bản phân tích chi tiết cùng bằng chứng khái niệm và phòng thí nghiệm kiểm tra độc lập. Cuộc tấn công mà ông trình diễn chạy mã với quyền của tài khoản máy chủ web, chứ không phải toàn quyền kiểm soát máy chủ. Ông cũng kiểm tra nó trên WordPress 7.0.2 trong môi trường thí nghiệm biệt lập, không phải trên bản vá hoặc bất kỳ website trực tuyến nào.

Hai dấu hiệu cho biết website của bạn có nguy cơ cao

Công ty bảo mật Patchstack, trong phân tích độc lập của mình, đã chỉ ra hai yếu tố quyết định mức độ phơi nhiễm của một website trước lỗ hổng này.

Thứ nhất, theme đang hoạt động có chứa một thư mục cấp cao nhất với tên bắt đầu bằng "page-" hay không. Một số theme, bao gồm cả các theme mặc định cũ của WordPress, có chứa thư mục như vậy, trong khi các theme mặc định hiện tại thì không.

Thứ hai, PHP có đang chạy với cấu hình register_argc_argv được bật hay không. Đây là một thiết lập mà một kỹ thuật thực thi mã đã biết phụ thuộc vào. Đáng chú ý là thiết lập này mặc định tắt trên PHP 8.5 nhưng lại mặc định bật trên các phiên bản PHP cũ hơn.

Cả hai yếu tố này đều không phải là giải pháp khắc phục. Chúng chỉ cho bạn biết website của mình đang gần với kịch bản tồi tệ nhất đến mức nào. Và nếu bạn đang chạy một phiên bản PHP cũ với theme có thư mục "page-", bạn đang ở trong vùng nguy hiểm cao nhất.

Bạn cần cập nhật lên phiên bản nào?

WordPress đã phát hành bản vá cho tất cả các nhánh mà dự án vẫn còn hỗ trợ, ngược dòng thời gian về tận phiên bản 4.7. Việc làm này được thực hiện như một sự tử tế với cộng đồng, nhưng nó cũng cho thấy mức độ nghiêm trọng của lỗ hổng.

Dưới đây là bảng cập nhật tương ứng với từng nhánh:

Nhánh bạn đang chạy	Cập nhật lên
7.1.x	7.1.2
7.0.x	7.0.6
6.9.x	6.9.9
6.8.x	6.8.10
6.7.x	6.7.9
6.6.x	6.6.9

WordPress đã backport bản vá đến mọi nhánh cũ mà dự án vẫn hỗ trợ, xuống tận phiên bản 4.7.37. Danh sách đầy đủ có trong ghi chú phát hành chính thức.

Các website đã bật cập nhật nền tự động sẽ bắt đầu quá trình cập nhật mà không cần bạn can thiệp. Những website khác có thể cập nhật thủ công từ bảng điều khiển trong mục Cập nhật, hoặc tải bản phát hành trực tiếp từ WordPress.org.

WordPress không cung cấp bất kỳ giải pháp thay thế nào ngoài việc cập nhật. Đây là con đường duy nhất để vá lỗ hổng.

Nếu bạn không thể cập nhật ngay lập tức thì sao?

Tôi hiểu rằng trong thực tế, không phải lúc nào bạn cũng có thể cập nhật ngay lập tức. Có thể bạn đang chạy một website với hàng trăm plugin, và bạn lo ngại rằng bản cập nhật có thể gây xung đột. Hoặc bạn đang trong giữa một chiến dịch quan trọng và không muốn rủi ro.

Robert Ressl đã đưa ra một số biện pháp giảm thiểu rủi ro tạm thời cho những ai chưa thể cập nhật ngay:

• Tắt register_argc_argv cho các yêu cầu web. Đây là thiết lập mà kỹ thuật thực thi mã phụ thuộc vào. Tắt nó đi sẽ làm giảm đáng kể khả năng khai thác thành công.
• Loại bỏ các thành phần PEAR không sử dụng. PEAR là một thư viện PHP cũ, và các thành phần của nó có thể cung cấp mục tiêu cho kẻ tấn công.

Tuy nhiên, cần phải nói rõ: cả hai biện pháp này đều không sửa chữa được lỗ hổng cơ bản. Chúng chỉ làm giảm khả năng bị khai thác, chứ không loại bỏ hoàn toàn nguy cơ. Cách duy nhất để thực sự an toàn là cập nhật lên phiên bản đã được vá.

Tình hình khai thác thực tế: Chưa có báo cáo, nhưng đừng chủ quan

Tính đến ngày 22 tháng 9, chưa có báo cáo nào về việc lỗ hổng này bị khai thác trong các cuộc tấn công thực tế. Nó cũng chưa có tên trong danh mục Các lỗ hổng bị khai thác đã biết của CISA (Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ).

Đây là một tín hiệu tích cực, nhưng tuyệt đối không phải là lý do để chủ quan. Lịch sử đã chứng minh rằng các lỗ hổng nghiêm trọng thường bị khai thác hàng loạt sau khi thông tin về chúng được công bố công khai. Khi một lỗ hổng có điểm CVSS lên đến 9.2 và có sẵn bằng chứng khái niệm, việc nó trở thành mục tiêu của các chiến dịch tấn công tự động chỉ còn là vấn đề thời gian.

Những bài học xương máu cho người quản trị website

Qua 20 năm chứng kiến không ít cuộc tấn công mạng, tôi đúc kết được vài bài học mà bất kỳ ai quản trị website WordPress cũng nên ghi nhớ.

1. Cập nhật không phải là lựa chọn, mà là nghĩa vụ

Trong thế giới bảo mật, không có chỗ cho sự trì hoãn. Mỗi giờ bạn chậm cập nhật là mỗi giờ website của bạn phơi mình trước nguy cơ bị xâm nhập. Hãy bật cập nhật tự động cho WordPress core, và kiểm tra bảng điều khiển thường xuyên để đảm bảo mọi thứ đều được cập nhật.

2. Hiểu rõ cấu hình máy chủ của bạn

Lỗ hổng này đặc biệt nguy hiểm trên các máy chủ chạy PHP phiên bản cũ với register_argc_argv được bật. Nếu bạn không biết máy chủ của mình đang chạy cấu hình gì, hãy liên hệ nhà cung cấp hosting ngay hôm nay để tìm hiểu. Đừng để mình mù mờ về những thiết lập có thể quyết định số phận website.

3. Đa dạng hóa và sao lưu

Ngay cả khi bạn đã cập nhật, hãy luôn có một bản sao lưu đầy đủ và gần nhất. Trong trường hợp xấu nhất, bạn có thể khôi phục website về trạng thái an toàn trước khi bị xâm nhập. Và đừng quên sao lưu cả cơ sở dữ liệu lẫn các tệp tin.

4. Theo dõi các nguồn tin bảo mật

Lỗ hổng CVE-2026-87902 được phát hiện vào tháng 7 nhưng chỉ được công bố và vá vào tháng 9. Nếu bạn không theo dõi các nguồn tin bảo mật uy tín, bạn có thể đã bỏ lỡ thông tin về bản vá quan trọng này trong nhiều ngày. Hãy đăng ký nhận thông báo từ các tổ chức như Patchstack, Wordfence, hoặc chính WordPress.

An ninh mạng là một hành trình, không phải đích đến

WordPress vá lỗ hổng nghiêm trọng lần này là một lời nhắc nhở rằng không có hệ thống nào là bất khả xâm phạm. Ngay cả một nền tảng được hàng triệu người tin dùng như WordPress cũng có thể chứa đựng những lỗ hổng có thể bị khai thác để thực thi mã từ xa.

Điều quan trọng không phải là liệu lỗ hổng có tồn tại hay không – vì chắc chắn nó sẽ luôn tồn tại. Điều quan trọng là bạn phản ứng nhanh như thế nào khi nó được phát hiện. Trong cuộc chiến không ngừng nghỉ giữa hacker và những người bảo vệ hệ thống, tốc độ là yếu tố quyết định.

Hãy cập nhật ngay hôm nay. Đừng chờ đến ngày mai, vì ngày mai có thể là quá muộn.

Bạn đã từng đối mặt với một cuộc tấn công mạng nhắm vào website của mình chưa? Nếu có, bạn đã phát hiện ra nó như thế nào và xử lý ra sao? Nếu chưa, bạn đã có kế hoạch gì để bảo vệ website của mình trước những lỗ hổng nghiêm trọng như CVE-2026-87902? Hãy chia sẻ câu chuyện và chiến lược của bạn bên dưới, bởi vì trong lĩnh vực an ninh mạng, kiến thức được chia sẻ là kiến thức được nhân lên!