Cập nhật ngày 31 tháng 10 năm 2026. Bài viết này đăng lần đầu ngày 29 tháng 10. Hồ sơ lỗ hổng của Wordfence, cập nhật ngày 30 tháng 10, nay đã gán mã CVE-2026-119977 cho điểm yếu trong quy trình nâng cấp lõi WordPress, và báo cáo ngày 29 tháng 10 của Wordfence mô tả các đợt dò quét và nỗ lực khai thác lặp lại sau khi bản vá được phát hành. Chúng tôi đã bỏ câu trước đây nói rằng chưa rõ lỗi có bị khai thác hay không, trình bày rõ các điều kiện kẻ tấn công cần có, và bổ sung các bước kiểm tra nhật ký cùng thư mục nâng cấp tạm dành cho nhà cung cấp.
Hãy yêu cầu nhà cung cấp xác nhận rằng mọi website WordPress đang vận hành thực tế của bạn đã chạy bản phát hành bảo mật tương ứng và quá trình cập nhật đã thực sự hoàn tất. WordPress công bố 7.1.4 ngày 28 tháng 10 năm 2026 dưới dạng bản phát hành bảo mật và khuyến nghị cập nhật ngay. Tính đến ngày 31 tháng 10 năm 2026, 7.1.4 là bản hiện hành cho các website chạy nhánh 7.1. Tài liệu phiên bản ghi nhận lỗi race condition trong quy trình nâng cấp (tình huống các bước xử lý chạy chồng lên nhau theo thứ tự không mong muốn) cùng các bản sửa khác.
Hiện đã biết gì về CVE-2026-119977
Hồ sơ lỗ hổng của Wordfence, công bố ngày 28 tháng 10 và cập nhật ngày 30 tháng 10, nay xác định vấn đề này là CVE-2026-119977. Điều kiện khai thác rất quan trọng, và tất cả phải cùng xảy ra một lúc. Theo Wordfence, kẻ tấn công không cần đăng nhập cần có một gói cập nhật lõi đầy đủ đang giải nén trình cài đặt vào một đường dẫn tạm nằm bên dưới wp-content/upgrade. Cây thư mục tạm đó phải vừa truy cập được từ Internet công khai, vừa có khả năng thực thi PHP. Một đường dẫn chỉ nhìn thấy được công khai nhưng không chạy được PHP thì tự nó chưa đủ để hoàn tất chuỗi tấn công. Kẻ tấn công còn phải đoán được hoặc tìm ra đúng đường dẫn, và tiếp cận nó trước khi bước dọn dẹp xóa các tập tin đi. Trong thử nghiệm của Wordfence, khoảng thời gian này thường chỉ kéo dài vài giây. Vì mọi điều kiện phải cùng hội đủ, không phải website nào, khách truy cập nào hay lần cập nhật nào cũng khai thác được.
Khoảng thời gian hẹp đó không ngăn được người ta thử. Báo cáo ngày 29 tháng 10 của Wordfence mô tả các đợt dò liên tục và nỗ lực khai thác sau khi bản vá ra mắt. Hãy xem đó là lý do để hành động, không phải bằng chứng rằng các nỗ lực đã thành công. Một yêu cầu nhắm vào thư mục nâng cấp xuất hiện trong nhật ký cho thấy có người đã thử. Tự thân nó không chứng minh website đã bị xâm nhập, cũng không chứng minh website vẫn sạch.
Quy tắc tường lửa là lớp bổ sung, không thay thế bản vá
Wordfence phát hành một quy tắc tường lửa ngày 28 tháng 10. Khách hàng Wordfence Premium, Care và Response nhận quy tắc này ngay trong ngày. Người dùng Wordfence Free sẽ nhận vào ngày 27 tháng 11 năm 2026. Vì cuộc tấn công gửi yêu cầu thẳng tới tập tin PHP và bỏ qua quy trình tải thông thường của WordPress, quy tắc chỉ phát huy tác dụng khi tường lửa chạy ở chế độ Extended Protection tại tầng máy chủ web. Đừng mặc định rằng chỉ bật plugin bảo mật là đã đủ. Mọi quy tắc đều là lớp kiểm soát bổ sung. Cách khắc phục vẫn là cập nhật.
Nếu website của bạn chạy nhánh cũ hơn
Wordfence liệt kê các bản sửa tương ứng ngược về tới nhánh 4.7, nhưng mỗi nhánh có bản phát hành riêng. Đừng coi mọi phiên bản từ 4.7 đến 7.1.3 là giống nhau. Hãy yêu cầu nhà cung cấp đối chiếu đúng hồ sơ của nhánh bạn đang dùng, và lập kế hoạch chuyển lên bản hiện hành, vì chỉ bản mới nhất được hỗ trợ đầy đủ, còn các bản vá ngược cho nhánh cũ chỉ là hỗ trợ bổ sung.
Các bước kiểm tra khuyến nghị cho chủ website và nhà cung cấp
- Kiểm kê toàn bộ bản cài đặt. Liệt kê từng website WordPress đang vận hành, kể cả các microsite và landing page đã bị lãng quên.
- Xác nhận có bản sao lưu mới trước. Bạn cần một bản sao lưu gần đây gồm cả tập tin và cơ sở dữ liệu, cùng một quy trình khôi phục đã có người thực sự dùng qua. Hướng dẫn chiến lược sao lưu của chúng tôi mô tả thế nào là một quy trình như vậy.
- Cân nhắc che chắn đường dẫn tạm, nhưng không trì hoãn cập nhật. Nhà cung cấp có quyền quản trị máy chủ có thể cân nhắc chặn truy cập HTTP công khai tới vị trí tạm của quá trình nâng cấp trước khi chạy cập nhật. Chỉ cần loại bỏ một trong hai yếu tố, truy cập công khai hoặc khả năng thực thi PHP, là chuỗi tấn công mô tả ở trên bị cắt đứt. Tác giả bài viết của Wordfence, trong phản hồi ngày 30 tháng 10, đồng ý rằng cách này phù hợp với người vận hành có kinh nghiệm, nhưng cảnh báo không nên hoãn vá lỗi chỉ vì cấu hình phức tạp.
- Cập nhật theo đường chính thức và xác minh. Làm theo hướng dẫn cập nhật chính thức. Email thông báo hay bảng điều khiển hiện màu xanh chỉ là lời nhắc để kiểm tra, không phải bằng chứng. Hãy xác nhận phiên bản đang chạy hiển thị 7.1.4, hoặc đúng bản phát hành dành cho nhánh cũ hơn.
- Giữ nhật ký và tìm dấu hiệu của các nỗ lực tấn công. Yêu cầu nhà cung cấp lưu giữ nhật ký máy chủ web liên quan và rà soát các yêu cầu PHP nhắm vào thư mục nâng cấp, cùng mọi tài khoản quản trị, plugin hay tập tin lạ. Nỗ lực tấn công không phải bằng chứng đã bị xâm nhập, và bản vá cũng không phải giấy xác nhận website đã sạch.
- Kiểm thử những phần khách hàng trực tiếp sử dụng. Kiểm tra đăng nhập, vài trang tiêu biểu, và gửi thử một biểu mẫu khi đã được phép. Nếu bạn bán hàng trực tuyến, hãy chạy thử thanh toán ở chế độ test và không phát sinh giao dịch thật.
- Giám sát sau đó. Theo dõi nhật ký lỗi và cảnh báo uptime trong vài giờ sau khi cập nhật.
Lõi WordPress, PHP và plugin là các lớp riêng biệt
Bản phát hành này chỉ cập nhật lõi WordPress. Môi trường chạy PHP bên dưới có các bản sửa riêng, điều mà bài viết trước của chúng tôi về các CVE PHP2Shell đã đề cập. Plugin và theme được cập nhật riêng. Hướng dẫn gia cố WordPress xem bảo mật là nhiều lớp kiểm soát, với trách nhiệm của hosting và của ứng dụng được tách bạch.
Việc cần làm ngay
Hãy gửi nhà cung cấp một tin nhắn hỏi những website nào đang chạy WordPress, sau khi cập nhật hoàn tất mỗi website có hiển thị 7.1.4 hoặc bản phát hành của đúng nhánh không, trước đó đã có bản sao lưu được kiểm thử chưa, và sau đó đã rà soát những gì trong nhật ký. Nếu bạn muốn trao đổi về một phạm vi bảo trì được lập thành văn bản, hãy bắt đầu từ trang dịch vụ bảo trì WordPress của chúng tôi.
Thông tin bảo mật được kiểm tra ngày 31 tháng 10 năm 2026.