Kiểm tra tính đến ngày 31/10/2026.

Sáu thông báo bảo mật plugin WordPress công bố ngày 30/10/2026 liên quan bốn sản phẩm: SimpleForm, NextGEN Gallery (ba thông báo), WP Directory Kit và Acadlix LMS. Đây là nhóm riêng, khác với bài điểm tin về các plugin biểu mẫu chúng tôi đã đăng trước đó. Nếu website của bạn không dùng plugin nào trong bốn sản phẩm này, bạn có thể dừng ở đây. Nếu có dùng, các phần dưới cho bạn đúng những gì cần hỏi đơn vị hosting hoặc bảo trì.

Hai điểm cần nói trước. Đây là các rủi ro gắn với điều kiện cụ thể, không phải kết luận rằng website của bạn đã bị ảnh hưởng. Các nguồn chúng tôi xem không ghi nhận việc khai thác thực tế cho bất kỳ thông báo nào trong sáu thông báo này. Tất cả đều đã có bản sửa, nên việc thực tế cần làm là xác nhận phiên bản đang cài và cập nhật an toàn.

SimpleForm (slug simple-form), CVE-2026-118235

Ảnh hưởng: 3.10.2 trở xuống. Đã sửa: 3.11.0 hoặc mới hơn.

Wordfence mô tả lỗi tải tệp tùy ý không cần đăng nhập, tiếp cận được qua biểu mẫu công khai. Mã truy cập được in ngay trên biểu mẫu nhúng công khai, nên nó không phải là rào cản đáng tin. Tệp tải lên có thực thi được hay không tùy cấu hình máy chủ, vì vậy hậu quả khác nhau giữa các nhà cung cấp hosting.

Tác động kinh doanh: bất kỳ biểu mẫu liên hệ, thu thập khách hàng hoặc trắc nghiệm công khai dựng bằng plugin này đều có thể trở thành nơi tiếp nhận các tệp bạn không mong muốn.

Việc chủ website cần làm: xác nhận slug simple-form và phiên bản đang cài, liệt kê các biểu mẫu đang hiển thị trên trang công khai, cập nhật lên 3.11.0 hoặc mới hơn, rồi gửi một lượt thử vô hại qua từng biểu mẫu công khai. Nguồn: thông báo của Wordfence và trang plugin, với changelog 3.11.0 nhắc đến việc đối sánh khóa trường chặt hơn và bảo vệ thư mục tải lên.

CVE-2026-76010 và CVE-2026-76012 ảnh hưởng 4.4.1 trở xuống và được sửa lần đầu ở 4.5.0. Cả hai đều yêu cầu người dùng đã đăng nhập, có quyền truy cập thư viện tùy chỉnh và đã sở hữu một thư viện. Lỗi đầu còn có thể liên quan đến tài khoản subscriber từng được cấp quyền Manage gallery, kể cả khi quyền đó đã bị thu hồi. Trong các điều kiện đó, mỗi lỗi đều có thể cho phép thực thi mã trên máy chủ, hậu quả nghiêm trọng nhất trong bài điểm tin này. Đây không phải rủi ro từ khách truy cập ẩn danh hay từ mọi subscriber.

CVE-2026-116563 là lỗi stored DOM-based cross-site scripting ảnh hưởng 4.5.4 trở xuống, sửa ở 4.5.5. Lỗi chỉ phát sinh khi lightbox Shutter hoặc Shutter Reloaded đang bật và một bình luận độc hại đã được duyệt. Khách truy cập mở thư viện đó sau khi bình luận được duyệt có thể bị chạy mã kịch bản độc hại trong trình duyệt. Lỗi không ảnh hưởng mọi khách xem thư viện hay mọi thư viện.

Vì các bản sửa trải trên hai bản phát hành, 4.5.0 là chưa đủ. Hãy yêu cầu 4.5.5 hoặc mới hơn. Changelog 4.5.5 của nhà phát triển, ghi ngày 29/10, nêu rõ CVE-2026-116563 và việc siết quyền. Mục 4.5.0 ghi ngày 16/09 nói về gia cố các bề mặt thực thi mã từ xa cũ hơn.

Tác động kinh doanh: các website portfolio, nhiếp ảnh và duyệt ảnh cho khách hàng, nơi cộng tác viên hoặc khách hàng có tài khoản quản lý thư viện, cùng mọi thư viện có bật bình luận.

Việc chủ website cần làm: rà soát ai đang hoặc đã từng có quyền quản lý thư viện, kiểm tra lightbox đang dùng và cách duyệt bình luận, cập nhật lên 4.5.5 hoặc mới hơn, rồi mở vài trang thư viện và thực hiện một lượt tải ảnh thử được phép. Nguồn: Wordfence về CVE-2026-76010, Wordfence về CVE-2026-76012, Wordfence về CVE-2026-116563 và changelog plugin.

WP Directory Kit (slug wpdirectorykit), CVE-2026-109197

Ảnh hưởng: 1.6.0 trở xuống. Đã sửa: 1.6.1 hoặc mới hơn.

Wordfence ghi nhận lỗi SQL injection không cần đăng nhập, có thể làm lộ thông tin cơ sở dữ liệu. Đừng nhầm plugin này với Web 2.0 Directory (w2dc), vốn là sản phẩm khác.

Tác động kinh doanh: website danh bạ thường lưu chi tiết tin đăng và hồ sơ thành viên trong cơ sở dữ liệu, nên mối lo đầu tiên ở đây là tính bảo mật thông tin.

Việc chủ website cần làm: xác nhận slug wpdirectorykit và phiên bản đang cài, cập nhật lên 1.6.1 hoặc mới hơn, rồi kiểm tra các trang tin đăng và chức năng tìm kiếm danh bạ. Nguồn: thông báo của Wordfence và trang plugin, với changelog 1.6.1 ghi Fixed security.

Acadlix LMS (slug acadlix), CVE-2026-103882

Ảnh hưởng: 1.1.9 trở xuống. Đã sửa: 1.2.0 hoặc mới hơn.

Thông báo mô tả lỗi xóa tệp tùy ý trên máy chủ. Theo Wordfence, một mã thông báo chung được phát ra trên giao diện công khai làm suy yếu kiểm soát truy cập của tuyến bị ảnh hưởng, nên không nên coi việc học viên phải đăng nhập là yếu tố giảm nhẹ.

Tác động kinh doanh: website học trực tuyến mất tệp có thể hỏng việc cung cấp khóa học, đăng nhập hoặc bài kiểm tra. Một bản sao lưu được giữ nguyên và kế hoạch phục hồi đã kiểm chứng là điều giúp việc khôi phục trở nên khả thi.

Việc chủ website cần làm: sao lưu mới toàn bộ tệp và cơ sở dữ liệu trước hết, cập nhật lên 1.2.0 hoặc mới hơn, rồi kiểm tra truy cập khóa học, đăng nhập và một bài kiểm tra với dữ liệu vô hại. Nguồn: thông báo của Wordfence và changelog plugin, với mục 1.2.0 ghi ngày 23/10 cho biết đã sửa một vấn đề bảo mật và cảm ơn Wordfence.

Danh sách kiểm tra để gửi nhà cung cấp

  • Kiểm kê theo đúng slug, không chỉ dựa vào tên hiển thị. Nhiều plugin có tên gần giống nhau.
  • Ghi lại phiên bản đang cài trước và sau khi cập nhật.
  • Sao lưu hiện trạng tệp và cơ sở dữ liệu, và xác nhận quy trình phục hồi hoạt động. Hướng dẫn quy tắc sao lưu của chúng tôi giải thích RPO, RTO và kiểm thử phục hồi.
  • Cập nhật từ kênh plugin chính thức, rồi kiểm tra phiên bản đã cài và đang hoạt động trong trang quản trị. Gói đã tải về chưa phải là bản cập nhật đã áp dụng.
  • Chạy các bước kiểm tra chức năng vô hại với những tính năng mỗi plugin đảm nhiệm.
  • Giữ nguyên nhật ký. Nếu thấy tệp, người dùng hoặc chuyển hướng bất thường, hãy điều tra riêng. Bản vá đóng một cánh cửa; nó không chứng minh rằng chưa ai đi qua trước đó.

Nếu website của bạn đang trong một gói bảo trì WordPress, hãy hỏi việc theo dõi phiên bản và xác minh cập nhật có nằm trong phạm vi gói hay không.

Thông tin được kiểm tra tính đến ngày 31/10/2026 dựa trên các nguồn dẫn kèm.