Kiểm tra đến ngày 30 tháng 10 năm 2026.

Ba thông báo lỗ hổng plugin WordPress được công bố hoặc cập nhật ngày 29 tháng 10 năm 2026. Mỗi thông báo liên quan tới một plugin mà nhiều website doanh nghiệp vừa và nhỏ dùng cho biểu mẫu liên hệ hoặc chatbot. Các thông báo đã xem xét không xác lập việc website của bạn bị tấn công. Hãy xem đây là những công bố cần xử lý khi áp dụng cho bạn, không phải chẩn đoán hay bằng chứng website đã bị xâm nhập.

Những gì đã được công bố

Gravity Forms, CVE-2026-103039

Áp dụng cho: Gravity Forms phiên bản 3.1.2 trở xuống, khi một biểu mẫu dùng Post Custom Field với kiểu nhập List kèm mẫu nội dung (content template). Lỗ hổng là PHP object injection không cần xác thực. Việc thực thi mã còn phụ thuộc thêm điều kiện riêng của từng website, nên không phải biểu mẫu hay website nào cũng có khả năng bị ảnh hưởng như nhau (Wordfence).

Cách kiểm tra: đề nghị nhà cung cấp xác nhận phiên bản đang cài và liệu có biểu mẫu đang chạy nào dùng cấu hình trường đó.

Hành động: cập nhật lên 3.1.3 hoặc bản vá mới hơn. Nhật ký thay đổi của hãng cho thấy bản vá đã phát hành trước ngày công bố này (Nhật ký thay đổi Gravity Forms).

Formidable Forms, CVE-2026-89435

Áp dụng cho: bản miễn phí Formidable Forms 6.35 trở xuống, chưa cài Formidable Pro, khi một người dùng đã đăng nhập được cấp quyền frm_view_forms (quyền có thể ủy quyền) và nhờ đó có thể cài plugin tùy ý (Wordfence). Tài khoản subscriber thông thường không mặc nhiên nằm trong phạm vi.

Cách kiểm tra: nhà cung cấp rà soát phiên bản đang cài, có Pro hay không, và vai trò nào đang giữ quyền đó.

Hành động: cập nhật lên 7.0 hoặc bản vá mới hơn. Readme của hãng ghi nhận siết chặt kiểm tra quyền và URL tải xuống ở bản 7.0 (Readme Formidable Forms).

AI Engine, CVE-2026-110732

Áp dụng cho: AI Engine 3.8.6 trở xuống khi đường dẫn MCP OAuth liên quan đang mở ra bên ngoài. Một client lạ có thể đăng ký, nhưng quyền kiểm soát ở cấp quản trị viên chỉ xảy ra sau khi một quản trị viên bấm chấp thuận trên màn hình chấp thuận, và clickjacking có thể ngụy trang lời nhắc đó (Wordfence). Dùng chatbot mà không bật MCP là một khả năng bị ảnh hưởng khác.

Cách kiểm tra: nhà cung cấp xác nhận phiên bản, MCP có đang bật không, và những client nào đang kết nối. Quản trị viên nên từ chối mọi lời nhắc chấp thuận mà mình không chủ động khởi tạo.

Hành động: cập nhật lên 3.8.7 hoặc bản vá mới hơn. Readme của hãng ghi nhận tăng cường chống nhúng khung (anti-framing) cho màn hình đăng nhập ở bản 3.8.7 (Readme AI Engine).

Quản lý việc cập nhật với tư cách chủ website

Vá lỗi là một dự án nhỏ, và việc của chủ website là làm cho nó diễn ra thật êm. Đây là những bước chúng tôi gợi ý chủ website thực hiện, không phải yêu cầu bắt buộc từ mọi hãng nêu trên.

  • Biết mình đang chạy gì. Lấy danh sách plugin kèm phiên bản và chỉ định một người chịu trách nhiệm áp dụng bản vá và xác nhận kết quả.
  • Sao lưu trước khi đụng vào bất cứ thứ gì. Cả cơ sở dữ liệu lẫn tệp, kèm phương án khôi phục đã thực sự được thử. Bài viết của chúng tôi về quy tắc sao lưu và kiểm thử khôi phục nêu những gì cần yêu cầu.
  • Thử nghiệm trước, rồi làm nhanh. Kiểm tra bản cập nhật trên bản sao staging, nhưng đừng để website chính chưa vá nhiều ngày chỉ vì staging còn chờ.
  • Thống nhất thời điểm và phương án dự phòng. Chốt khung giờ với nhà cung cấp, quyết định quay lui sẽ làm thế nào và ai là người ra quyết định đó.
  • Kiểm tra hành trình khách hàng. Sau khi cập nhật, gửi thử từng biểu mẫu công khai bằng dữ liệu giả lập và xác nhận email nhận cùng thông báo. Kiểm tra luồng báo giá, đặt lịch hoặc thanh toán theo cách tương tự, không phát sinh giao dịch thật.
  • Ghi lại kết quả. Ghi chính xác phiên bản đã vá, ngày thực hiện, thành phần nào đã thay đổi và những gì còn tồn đọng.

Nếu có dấu hiệu bất thường

Nếu nhà cung cấp phát hiện tài khoản quản trị lạ, client MCP không rõ nguồn gốc hoặc plugin không ai cài, hãy giữ nguyên nhật ký và bằng chứng trước khi thay đổi bất cứ điều gì. Đề nghị một nhà cung cấp đủ năng lực đánh giá khoanh vùng và khôi phục. Bản vá xử lý điểm yếu đã nêu. Nó không xóa quyền truy cập mà ai đó có thể đã nắm từ trước, và cũng không bảo đảm chặn được mọi cuộc tấn công sau này.

Bước tiếp theo

Nếu bạn muốn một ý kiến thứ hai về vị trí của ba plugin này trong hệ thống của mình, chúng tôi sẵn sàng trao đổi về một phạm vi bảo trì được ghi rõ qua dịch vụ bảo trì WordPress.