Ba thông báo bảo mật về plugin WordPress được công bố hoặc cập nhật ngày 3/11/2026. Chúng tôi đã kiểm tra chúng tính đến ngày 4/11/2026. Đây là ba vấn đề riêng biệt ở ba plugin không liên quan nhau. Không vấn đề nào nằm trong WordPress core, và vấn đề thứ ba không phải lỗi của dịch vụ Cloudflare Turnstile. Các nguồn chúng tôi sử dụng không xác lập được lỗi nào đã bị dùng để tấn công website thật hay chưa, nên chúng tôi không khẳng định theo hướng nào.

Mỗi mục dưới đây gồm: ai bị ảnh hưởng, tác động có thể có với doanh nghiệp, việc cần làm và nguồn tham chiếu.

1. Remove Google Fonts (use-bunnyfont-host-google-fonts), CVE-2026-97397

Ai bị ảnh hưởng. Website dùng plugin Remove Google Fonts – Disable, Block, or Replace with Bunny Fonts for GDPR Compliance phiên bản 1.7 trở về trước. Tính đến ngày 4/11/2026, 1.7 vẫn là bản phát hành hiện tại của nhà cung cấp plugin và thông báo của Wordfence không liệt kê phiên bản vá nào, nên tính đến ngày đó chưa có bản vá được biết đến. Một bản phát hành sau này có thể thay đổi điều này, vì vậy hãy kiểm tra readme của nhà cung cấp trước khi hành động.

Điều có thể xảy ra. Plugin viết lại nội dung trang để loại bỏ Google Fonts. Ở chế độ Remove, việc viết lại này có thể làm biến dạng nội dung của một bình luận đã được đăng, khiến mã script do khách truy cập không cần đăng nhập gửi lên chạy trên trình duyệt của bất kỳ ai xem trang. Cần hội đủ cả hai điều kiện: chế độ Remove đang bật, và bình luận độc hại đã được đăng, do người kiểm duyệt duyệt thủ công hoặc do tự động duyệt với người bình luận đã từng được duyệt trước đó.

Việc cần làm. Hãy đề nghị đơn vị quản trị website kiểm tra plugin này có được cài không và đang dùng chế độ nào. Vì tính đến ngày 4/11/2026 chưa có bản vá được biết đến, yêu cầu trong phạm vi hợp lý là tắt hoặc gỡ plugin và đánh giá một giải pháp thay thế đáng tin cậy, sau đó kiểm tra phông chữ vẫn hiển thị đúng. Tạm thời không đăng bình luận mới giúp giảm mức độ phơi nhiễm nhưng không phải cách khắc phục đã được xác minh. Đừng mặc định rằng chuyển sang chế độ khác sẽ giải quyết vấn đề; thông báo không nói như vậy.

Nguồn. Thông báo của Wordfence và readme của nhà cung cấp.

2. Import and export users and customers (import-users-from-csv-with-meta), CVE-2026-120554

Ai bị ảnh hưởng. Các phiên bản đến 2.5.11, kể cả 2.5.11. Nhà cung cấp đã sửa ở 2.5.12 và bản hiện tại là 2.5.13.

Điều có thể xảy ra. Đây là lỗi leo thang đặc quyền trong phạm vi hẹp. Lỗi không đến từ việc tải tệp CSV thông thường, và một tài khoản Subscriber thông thường không có các quyền cần thiết không phải là vai trò mà thông báo nêu. Điều quyết định mức độ phơi nhiễm là các quyền thực tế mà một vai trò đang giữ và các điều kiện tiên quyết của tác vụ nhập theo lịch có hội đủ hay không. Thông báo mô tả một người dùng đã đăng nhập giữ vai trò tùy chỉnh được ủy quyền, có quyền create_users nhưng không có cả promote_users lẫn edit_users. Plugin lưu thiết lập nhập theo lịch qua nhiều bước, và một số giá trị đã được ghi lại trước khi bước kiểm tra quyền từ chối yêu cầu. Nếu trước đó một quản trị viên từng lưu thiết lập nhập theo lịch, và không có lần lưu thành công nào xen vào trước lần chạy tự động kế tiếp, kẻ tấn công có thể trỏ việc nhập sang tệp CSV của mình và giành quyền Administrator. Bản sửa ở 2.5.12 kiểm tra toàn bộ quyền trước khi lưu bất kỳ giá trị nào và không còn tái sử dụng quyền quản trị viên cũ.

Việc cần làm. Cập nhật lên 2.5.12 trở lên sau khi sao lưu và kiểm tra phiên bản tương thích với website. Sau đó rà soát cấu hình nhập tự động, xác nhận nguồn CSV là nguồn bạn tin cậy, và xem lại các vai trò ủy quyền đang tồn tại cùng những tài khoản đang giữ quyền Administrator.

Nguồn. Thông báo của Wordfence và readme của nhà cung cấp.

3. Simple CAPTCHA with Cloudflare Turnstile (simple-cloudflare-turnstile), CVE-2026-93900

Ai bị ảnh hưởng. Các phiên bản đến 1.44.3, kể cả 1.44.3, trên website dùng shortcode tích hợp Gravity Forms. Đã sửa ở 1.44.4, phát hành ngày 30/10/2026. Bản hiện tại 1.44.5 chứa các sửa lỗi khác không thuộc CVE này.

Điều có thể xảy ra. Người dùng từ cấp Contributor trở lên có thể đặt một giá trị được tạo đặc biệt vào thuộc tính id của shortcode [gravity-simple-turnstile]. Cách plugin xuất giá trị này ra trang khiến nó chạy như script với bất kỳ ai xem trang. Đây là lỗi xử lý đầu ra của plugin, không phải xâm phạm nền tảng Cloudflare Turnstile và không phải cách vượt qua CAPTCHA.

Việc cần làm. Cập nhật lên 1.44.4 trở lên sau khi sao lưu và kiểm tra tương thích. Sau đó kiểm tra các biểu mẫu vẫn hiển thị và gửi được, và rà soát những tài khoản đang giữ vai trò Contributor hoặc Author.

Nguồn. Thông báo của Wordfence và readme của nhà cung cấp.

Các bước chung cho cả ba

  • Sao lưu trước mọi thay đổi, theo hướng dẫn trong bài chiến lược sao lưu của chúng tôi.
  • Cập nhật hoặc gỡ bỏ, rồi kiểm tra website vẫn hoạt động như mong đợi.
  • Theo dõi các thay đổi bất thường sau đó. Bài giám sát không chỉ là uptime giải thích cần theo dõi những gì.
  • Nếu phát hiện nội dung lạ, tài khoản quản trị lạ hoặc tác vụ theo lịch lạ, hãy lưu giữ bằng chứng trước khi dọn dẹp. Bài cần làm gì khi website bị tấn công hướng dẫn việc này.

Cài bản sửa đã được xác minh, hoặc gỡ plugin chưa có bản vá được biết đến, sẽ xử lý đúng vấn đề được mô tả cho plugin đó. Bài tổng hợp này không xác lập rằng website nào đó hiện không bị xâm nhập, và cũng không loại trừ rủi ro ở các plugin khác trên cùng website. Những plugin đó cần được kiểm tra riêng.