Contact Form 7 — plugin form của WordPress, hơn 10 triệu site đang dùng — vừa dính lỗi critical CVE-2026-114432 (CVSS 9.8): người lạ không cần đăng nhập cũng upload được file tùy ý lên site qua form có trường upload file. CVE công bố ngày 08/11/2026, bản vá đã có từ 29/10.

Lỗi ở đâu

Plugin trước 6.2.4 không kiểm tra loại file hay phần mở rộng khi nhận file qua trường upload của form, và lỗi ở khâu dọn file tạm (kích hoạt khi tên file chứa ký tự UTF-8 không hợp lệ) khiến file đã upload nằm lại trên ổ đĩa thay vì bị xóa ngay sau khi gửi form.

  • Chỉ ảnh hưởng 6.2 đến 6.2.3 — các bản cũ hơn không dính lỗi này.
  • Trên cấu hình Apache mặc định của Debian/Ubuntu (liệt kê thư mục + map .phar sang PHP handler), file đã upload có thể bị tìm ra và thực thi → RCE.
  • Trên nginx hoặc Apache có bật .htaccess override, mức độ nhẹ hơn: file vẫn bị ghi vào thư mục uploads và có thể được phục vụ như HTML/SVG từ chính domain của site.
  • Lỗi do Shinya Murakami và Jakub Herman phát hiện, báo qua WPScan.

Vá thế nào

  • Cập nhật lên 6.2.4 trở lên (hiện WordPress.org đã có 6.2.5). Nhà phát triển khuyên cập nhật cho mọi site dùng plugin này, kể cả bản cũ, vì bản vá còn tăng cường bảo mật chung.
  • Sau khi vá, rà lại thư mục uploads xem có file lạ nào không (.phar, .php, .html, .svg...).
  • Lưu ý nhỏ: 6.2.4 đổi cách lọc tên file sang danh sách cho phép (chủ yếu audio/video/ảnh + pdf/txt) — form nào nhận file Word, bảng tính hay ZIP sẽ không giữ nguyên như trước cho tới khi thêm lại bằng filter wpcf7_file_extension_safelist mà nhà phát triển hướng dẫn.

Tình trạng khai thác: tới nay chưa có báo cáo khai thác thật, chưa vào CISA KEV. WPScan dự kiến công bố PoC ngày 19/11/2026 để chủ site có thời gian cập nhật — tức là từ ngày đó trở đi rủi ro tăng mạnh. Đừng chờ tới 19/11 mới vá.

Đây là plugin Contact Form 7 gốc — đừng nhầm với các plugin addon cùng tên (ví dụ Ultra Addons for Contact Form 7, một plugin khác với CVE riêng).

Nguồn: