Kiểm tra tính đến ngày 5 tháng 11 năm 2026. Hai thông báo về plugin WordPress công bố ngày 4 tháng 11 đáng được một nhóm chủ website cụ thể quan tâm: cửa hàng WooCommerce dùng LiteSpeed Cache, và tổ chức nhận quyên góp qua GiveWP. Không thông báo nào chúng tôi xem xét xác nhận kẻ tấn công đang khai thác các lỗi này trên thực tế. Điều đó cũng không chứng minh là chưa ai khai thác, nên hãy xem đây là việc bảo trì thường lệ nhưng cần làm sớm.

1. LiteSpeed Cache: dữ liệu giỏ hàng và thanh toán của khách được phục vụ từ bộ nhớ đệm dùng chung

Vấn đề là gì. Wordfence công bố CVE-2026-93389 ngày 4 tháng 11 cho plugin LiteSpeed Cache (slug litespeed-cache). Lỗi ảnh hưởng các phiên bản đến 7.9.1 (bao gồm 7.9.1) và được sửa ở 7.9.2. Patchstack ghi nhận cùng phiên bản ảnh hưởng và đã sửa. Readme của nhà phát triển hiện liệt kê 7.9.3 (3 tháng 11) là bản ổn định, nhưng 7.9.2 vẫn là mức tối thiểu an toàn cho lỗi này. Mục changelog ngày 20 tháng 10 cho bản 7.9.2 mô tả việc tăng cường cách ly khách truy cập và kiểm soát cache cho các phản hồi riêng tư và đã xác thực. Mục changelog chung này củng cố việc tăng cường cache; thông báo của Wordfence mới là nguồn gắn bản sửa với CVE này.

Ai thực sự bị ảnh hưởng. Website của bạn nằm trong phạm vi khi hội đủ cả ba điều kiện: plugin ở phiên bản 7.9.1 trở xuống, có một lớp cache công khai LSCache đang hoạt động trước website với tùy chọn Cache REST đang bật (mặc định bật khi cài), và WooCommerce được cài đặt. Trong điều kiện đó, các phản hồi GET của WooCommerce Store API cho giỏ hàng và thanh toán được lưu như đối tượng cache công khai mà không phân biệt theo Cart-Token hoặc phiên WooCommerce. Một khách truy cập sau đó, không có cookie và không có token, có thể nhận được phản hồi đã cache của người mua khác. Không phải mọi bản cài plugin đều hội đủ cả ba điều kiện. Ngược lại, việc có cài plugin không chứng minh và cũng không loại trừ khả năng phản hồi từng bị chia sẻ trước đây, và các đối tượng cache do phiên bản bị ảnh hưởng tạo ra có thể còn tồn tại cho đến khi được xóa.

Tác động kinh doanh. Phản hồi bị cache có thể chứa họ tên, công ty, địa chỉ, email và số điện thoại thanh toán/giao hàng của người mua khác, nội dung và tổng giỏ hàng, Cart-Token và nonce còn hiệu lực cho phép chiếm phiên giỏ hàng hoặc thanh toán của họ, cùng order_key ở endpoint thanh toán. Thông báo không mô tả dữ liệu thẻ thanh toán bị lộ.

Cần làm gì.

  • Xác minh phiên bản đang cài, và lớp cache LiteSpeed hoặc QUIC.cloud của nhà cung cấp có thực sự phục vụ các route REST từ cache hay không.
  • Sao lưu, kiểm tra tương thích, rồi cập nhật lên 7.9.2 trở lên.
  • Xóa cache sau khi cập nhật để các mục do phiên bản bị ảnh hưởng tạo ra không còn tồn đọng.
  • Chỉ dùng tài khoản thử nghiệm của chính bạn, xác nhận phản hồi giỏ hàng hoặc thanh toán từ một phiên không được trả về cho một phiên mới không có cookie.
  • Nếu phát hiện bằng chứng phản hồi đã bị chia sẻ, xem lại nhật ký truy cập và cache còn lưu, và đề nghị nhà cung cấp xoay vòng hoặc vô hiệu hóa các phiên liên quan theo quy trình của họ.

Đây là các bước thận trọng của chủ website, không phải biện pháp khắc phục được nhà phát triển chứng nhận hay xác nhận an toàn cho mọi website.

2. GiveWP: người quản lý được ủy quyền có thể biến mọi người quyên góp mới thành Administrator

Vấn đề là gì. Wordfence công bố CVE-2026-118193 ngày 4 tháng 11 cho GiveWP (slug give). Lỗi ảnh hưởng các phiên bản đến 4.19.1 (bao gồm 4.19.1) và được sửa ở 4.19.1.1, phát hành ngày 3 tháng 11. Changelog trong readme của nhà phát triển nêu đích danh CVE và mô tả việc bổ sung kiểm tra cho cài đặt vai trò mặc định của người quyên góp.

Ai có thể lợi dụng. Cần một tài khoản đã đăng nhập giữ quyền manage_give_settings, vốn thuộc vai trò GiveWP Manager, hoặc cao hơn. Người quyên góp thông thường và Subscriber trong thiết lập mặc định không có quyền này và không thể kích hoạt lỗi. Vì quyền có thể được gán cho vai trò tùy chỉnh, hãy kiểm tra ai thực sự giữ quyền này thay vì chỉ dựa vào tên vai trò.

Tác động kinh doanh. Qua màn hình cài đặt thông thường, một manager có thể đặt vai trò mặc định cho người quyên góp mới thành vai trò cao hơn nhưng không phải Administrator, ví dụ Editor. Qua đường Tools > Import JSON, bước kiểm tra bị bỏ qua hoàn toàn nên có thể lưu cả Administrator. Tài khoản người quyên góp tạo sau khi thay đổi sẽ nhận vai trò đó. Người quyên góp hiện có không bị nâng quyền hồi tố.

Cần làm gì.

  • Sao lưu, kiểm tra tương thích, rồi cập nhật lên 4.19.1.1 trở lên.
  • Rà soát ai đang giữ vai trò Manager trở lên và từng người có còn cần thiết không.
  • Kiểm tra cài đặt vai trò mặc định hiện tại của người quyên góp và các lần nhập cài đặt gần đây.
  • Rà soát các tài khoản có quyền cao được tạo trong vài tuần gần đây xem có gì bất thường.
  • Thực hiện một lượt đăng ký người quyên góp mới giả lập bằng tài khoản thử nghiệm của bạn và xác nhận nó nhận đúng vai trò quyền thấp như dự định. Bản vá sửa phần kiểm tra; nó không rà soát các tài khoản đã tồn tại.

Giữ mọi thứ ở mức thường lệ

Cả hai bản sửa đã có sẵn vài ngày. Một bản sao lưu đã được kiểm tra khôi phục trước khi cập nhật cho bạn một điểm an toàn để quay về nếu bản cập nhật gặp trục trặc, và giám sát vượt ngoài uptime có chú ý đến vai trò và tài khoản mới cho bạn một cơ sở cụ thể để rà soát. Không biện pháp nào đảm bảo mọi thay đổi đều được phát hiện. Nếu việc rà soát phát hiện điều bạn không thể giải thích, hướng dẫn của chúng tôi về cần làm gì khi website bị hack trình bày các bước đầu tiên.