Tuần này có hai lỗ hổng plugin WordPress được công bố, và cả hai đều đã có phiên bản vá. Không lỗ hổng nào nằm trong WordPress core, và chúng thuộc hai plugin khác nhau với hai đường mã khác nhau. Việc cần làm tùy thuộc vào plugin và cấu hình bạn thực sự đang chạy, nên hãy xem cả hai mục. Toàn bộ thông tin dưới đây được kiểm tra tính đến ngày 3 tháng 11 năm 2026.

1. WP Fastest Cache: trang kích hoạt tài khoản bị cache có thể lộ thông tin đăng nhập của người dùng Multisite mới (CVE-2026-111464)

Thông tin được công bố. Wordfence đăng cảnh báo ngày 2 tháng 11 năm 2026, cập nhật ngày 3 tháng 11, ghi nhận nhà nghiên cứu R3D: cảnh báo của Wordfence về WP Fastest Cache <= 1.5.3. Phạm vi ảnh hưởng: plugin có slug wp-fastest-cache, các phiên bản đến và bao gồm 1.5.3. Đã vá ở 1.5.4.

Vấn đề là gì. Trên một mạng Multisite thuộc diện ảnh hưởng, plugin có thể cache phản hồi của trang kích hoạt tài khoản rồi trả nó cho những người truy cập sau. Trang cache đó có thể chứa tên đăng nhập và mật khẩu dạng văn bản thuần dài 12 ký tự được tạo cho người đăng ký kích hoạt gần nhất.

Ai thực sự bị ảnh hưởng. Phải thỏa đồng thời tất cả các điều kiện sau:

  • WordPress Multisite chạy ở chế độ thư mục con (subdirectory).
  • Bật cả đăng ký người dùng công khai và đăng ký site công khai.
  • Có người đăng ký thật đã bấm vào liên kết kích hoạt, nên tồn tại một phản hồi kích hoạt để bị cache.

Một website đơn thông thường dùng plugin này không khớp với kịch bản đó, và báo cáo không mô tả việc mọi khách truy cập hay mọi tài khoản đều bị lộ.

Việc cần làm.

  1. Mở Plugins > Installed Plugins và ghi lại phiên bản WP Fastest Cache. Nếu là 1.5.3 trở về trước, hãy cập nhật lên 1.5.4 hoặc mới hơn. Changelog của nhà phát triển cho bản 1.5.4 mô tả việc loại trừ trang kích hoạt cùng cookie kích hoạt hoặc trạng thái cài đặt khỏi cache, và tôn trọng các header no-cache, private và no-store.
  2. Nếu mạng của bạn khớp với các điều kiện trên, hãy xóa cache của plugin và mọi lớp cache máy chủ hoặc CDN phía trước, để không còn phản hồi kích hoạt cũ nào tồn tại.
  3. Rà soát khoảng thời gian đăng ký được mở trong khi đang cài phiên bản có lỗ hổng. Nếu thông tin đăng nhập của một người đăng ký có thể đã bị cache, hãy đặt lại mật khẩu tài khoản đó và đăng xuất các phiên của tài khoản.

Điểm chưa chắc chắn. Báo cáo của Wordfence không mô tả việc quan sát thấy khai thác, nhưng điều đó không đồng nghĩa với bằng chứng rằng không có khai thác nào xảy ra. Cập nhật chặn việc cache trang kích hoạt trong tương lai. Nó không thể cho biết một trang cache có từng bị đọc trước đó hay không.

2. Ultra Addons for Contact Form 7: xóa tệp không cần xác thực qua tính năng PDF (CVE-2026-102435)

Thông tin được công bố. Wordfence đăng ngày 2 tháng 11 năm 2026, ghi nhận nhà nghiên cứu Sawyer: cảnh báo của Wordfence về Ultra Addons for Contact Form 7 <= 3.5.54. Plugin này, còn được liệt kê với tên Ultimate Addons, dùng slug ultimate-addons-for-contact-form-7. Phạm vi ảnh hưởng: các phiên bản đến và bao gồm 3.5.54. Đã vá ở 3.5.55.

Vấn đề là gì. Việc xử lý đối tượng và kiểm tra đường dẫn thiếu an toàn trong một trường form Contact Form 7 cho phép khách truy cập chưa xác thực xóa tệp trên máy chủ. Khi có thêm các điều kiện khác, việc xóa một số tệp nhất định có thể mở đường cho thực thi mã tùy ý. Đó là hậu quả có thể xảy ra, không phải hậu quả tự động.

Ai thực sự bị ảnh hưởng. Đã cài Contact Form 7, đã cài Ultra Addons, addon PDF Generator đang bật, và có ít nhất một form được cấu hình để tạo PDF. Contact Form 7 thuần không có addon, hoặc có addon nhưng không cấu hình PDF, không tự động bị ảnh hưởng.

Việc cần làm.

  1. Kiểm tra phiên bản Ultra Addons. Nếu là 3.5.54 trở về trước, hãy cập nhật lên 3.5.55 hoặc mới hơn. Mục changelog của nhà phát triển cho bản 3.5.55, đề ngày 11 tháng 10 năm 2026, ghi nhận các vấn đề do Wordfence báo cáo đã được xử lý, và cảnh báo của Wordfence xác nhận bản vá.
  2. Nếu chưa thể cập nhật ngay, hãy nhờ đơn vị bảo trì hoặc nhà cung cấp hosting đánh giá việc tạm tắt tính năng PDF. Cách này giúp giảm mức phơi nhiễm trong lúc bạn sắp xếp cập nhật. Nó không phải cách khắc phục hoàn chỉnh đã được xác minh, và phiên bản đã vá của nhà phát triển vẫn là giải pháp được khuyến nghị.
  3. Sau khi cập nhật, gửi thử một bản ghi với dữ liệu không nhạy cảm qua form có bật PDF và xác nhận PDF vẫn được tạo ra.

Điểm chưa chắc chắn. Bản cập nhật không khôi phục bất kỳ tệp nào đã bị xóa trước đó. Lưới an toàn thực sự của bạn là một bản sao lưu mà bạn đã từng khôi phục thành công, như đã trình bày trong hướng dẫn chiến lược sao lưu của chúng tôi. Điểm mức độ nghiêm trọng cao mô tả tác động tiềm tàng. Nó không phải bằng chứng về các cuộc tấn công đang diễn ra.

Trước và sau mỗi lần cập nhật

  • Ghi lại phiên bản đang cài và các thiết lập liên quan: chế độ đăng ký của Multisite, cấu hình PDF của Contact Form 7.
  • Sao lưu trước khi thay đổi bất cứ điều gì.
  • Cập nhật, rồi xác nhận phiên bản đang chạy và chức năng đăng ký hoặc các form quan trọng vẫn hoạt động.
  • Theo dõi nhật ký lỗi trong vài ngày. Bài giám sát không chỉ dừng ở uptime giải thích những gì đáng theo dõi.

Về quy trình tổng thể, xem cách bảo mật website WordPress của bạn.