Chào mọi người,

Tiếp nối series bảo mật tháng 10 (PHP2Shell, Node2Shell), hôm nay có thêm một vụ liên quan trực tiếp tới rất nhiều site đang chạy trên VPS/panel: WordPress 7.1.4 vá lỗi RCE trong quá trình cập nhật lõi.

Tóm tắt nhanh

  • Mã lỗi: CVE-2026-119977
  • Ảnh hưởng: WordPress 4.7.0 đến 7.1.3
  • Bản vá: WordPress 7.1.4, phát hành ngày 28/10/2026, kèm bản vá backport cho các nhánh cũ hơn, xuống tới 4.7.39
  • Bản 7.1.4 nói chung vá 22 lỗi bảo mật trong lõi, nhưng lỗi đáng chú ý nhất là lỗi này.

Lỗi nằm ở quá trình cập nhật lõi dạng full-package: khi WordPress giải nén gói cập nhật, nó dùng một thư mục tạm dưới wp-content/upgrade. Trong cửa sổ rất ngắn đó, bản sao đang giải nén có thể bị truy cập từ web. Kẻ tấn công không cần tài khoản, nhưng phải bắt đúng thời điểm đó, thường chỉ kéo dài vài giây trong điều kiện lab.

Mức độ nghiêm trọng: cần đọc kỹ, đừng chỉ nhìn một con số

  • Wordfence, đơn vị cấp mã CVE, chấm CVSS 3.1 là 8.1 High.
  • Chính WordPress đánh giá lỗi này ở mức Low trong advisory GHSA-4w3m-c66w-69mg.

Sự chênh lệch này là hợp lý: tác động nếu thành công thì cao, nhưng điều kiện khai thác rất hẹp. Tuy nhiên thực tế cho thấy kẻ tấn công vẫn đang quét: Wordfence ghi nhận hơn 18.500 request nhắm vào đường dẫn installer trong 21 giờ đầu sau khi rule chặn được triển khai, và sau đó có báo cáo khoảng 62.969 lượt tấn công bị chặn trong 24 giờ. Tính tới 31/10, chưa có vụ chiếm quyền nào được xác nhận, và lỗi này chưa nằm trong danh mục CISA KEV.

Nói ngắn gọn: không phải cứ chạy WordPress cũ là mất site ngay, nhưng cũng đừng để site cũ rồi cập nhật một cách vô tư.

Nên làm gì?

  1. Chặn truy cập web tới wp-content/upgrade TRƯỚC khi cập nhật. Đây là bước quan trọng nhất, vì chính lần cập nhật lên 7.1.4 cũng mở lại cửa sổ này một lần nữa nếu chưa chặn.
  2. Cập nhật lên 7.1.4, hoặc bản vá tương ứng của nhánh đang dùng nếu không lên được nhánh mới nhất.
  3. Sau khi cập nhật, rà log web server để tìm request tới wp-content/upgrade và setup-config.php, đặc biệt những request trả về 200.
  4. Nếu dùng Wordfence, bật Extended Protection, vì request tới file PHP trực tiếp có thể không đi qua WordPress nên plugin ở chế độ thường có thể không thấy.
  5. Backup trước khi cập nhật như mọi lần, để lỡ cập nhật lỗi còn khôi phục được.

Mọi người đang chạy WordPress thì kiểm tra thử phiên bản của mình nhé. Nếu site đang ở 4.7 đến 7.1.3 mà chưa cập nhật thì nên xử lý trong hôm nay, bắt đầu từ bước chặn thư mục upgrade trước.

Nguồn tham khảo: