Cảnh báo lỗ hổng CVE-2026-119977 trên WordPress Core: Nguy cơ RCE nghiêm trọng

• Mã lỗ hổng: CVE-2026-119977 (CVSS 8.1 - High Severity).
• Phạm vi ảnh hưởng: WordPress Core từ phiên bản 4.7 đến 7.1.3.
• Cơ chế tấn công: Lợi dụng điều kiện đua (Race Condition) TOCTOU trong quá trình cập nhật hệ thống.
• Khuyến nghị: Cập nhật ngay lên phiên bản 7.1.4 để vá lỗi triệt để.

Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Hoa Kỳ (CISA) vừa chính thức đưa lỗ hổng CVE-2026-119977 vào danh mục các lỗ hổng đã bị khai thác thực tế (Known Exploited Vulnerabilities - KEV). Đây là một lỗ hổng bảo mật nghiêm trọng trong nhân WordPress, cho phép kẻ tấn công thực thi mã độc từ xa trên máy chủ mà không cần xác thực hoặc tương tác từ người dùng.

Phân tích kỹ thuật lỗ hổng CVE-2026-119977

Lỗ hổng này xuất phát từ cách thức WordPress xử lý các tệp tin tạm thời trong quá trình cập nhật hệ thống. Khi thực hiện nâng cấp, WordPress giải nén toàn bộ gói cập nhật vào một thư mục tạm có tên là wp-content/upgrade. Trong các phiên bản bị ảnh hưởng, các tệp tin này có thể được truy cập trực tiếp qua giao thức HTTP/HTTPS ngay cả khi quá trình cập nhật chưa hoàn tất.

Kẻ tấn công có thể lợi dụng kẽ hở này để truy cập vào trình cài đặt WordPress (installer) được lưu trữ tạm thời. Bằng cách kết nối trình cài đặt này với một cơ sở dữ liệu do kẻ tấn công kiểm soát, chúng có thể thiết lập một đường dẫn để thực thi mã tùy ý trên máy chủ. Đây là một dạng lỗi Time-of-Check, Time-of-Use (TOCTOU), một loại điều kiện đua (race condition) điển hình trong lập trình hệ thống.

Chi tiết kỹ thuật và vector tấn công

Việc khai thác lỗ hổng này đòi hỏi sự chính xác về thời gian (timing). Kẻ tấn công cần gửi các yêu cầu HTTP liên tục đến đường dẫn thư mục tạm trước khi WordPress kịp xóa các tệp tin sau khi quá trình cập nhật kết thúc. Mặc dù cửa sổ thời gian này rất ngắn, nhưng với các kỹ thuật tự động hóa, kẻ tấn công có thể thực hiện hàng chục nghìn yêu cầu để tăng xác suất thành công.

Dấu hiệu nhận biết và săn tìm mối đe dọa (Threat Hunting)

Các quản trị viên hệ thống và đội ngũ SOC cần đặc biệt chú ý đến các dấu hiệu bất thường trong nhật ký truy cập (access logs) của máy chủ web. Việc phát hiện các yêu cầu truy cập vào các tệp tin PHP nằm trong thư mục wp-content/upgrade là một chỉ số quan trọng (IOC) cho thấy nỗ lực khai thác đang diễn ra.

Dưới đây là một số bước kiểm tra cơ bản mà đội ngũ vận hành cần thực hiện:

• Kiểm tra Log: Rà soát các tệp nhật ký truy cập (Apache/Nginx) để tìm kiếm các yêu cầu HTTP GET/POST hướng tới thư mục /wp-content/upgrade/.
• Giám sát tài khoản: Kiểm tra danh sách quản trị viên (Administrator) để phát hiện các tài khoản lạ được tạo ra trong thời gian gần đây.
• Kiểm tra tính toàn vẹn tệp tin: Sử dụng các công cụ như AIDE hoặc Tripwire để phát hiện các thay đổi bất thường trong cấu trúc thư mục WordPress.

# Ví dụ lệnh tìm kiếm các yêu cầu truy cập vào thư mục upgrade trong access.log của Nginx/Apache:grep "/wp-content/upgrade/" /var/log/nginx/access.log

Khuyến nghị phòng thủ và khắc phục

Giải pháp triệt để nhất là cập nhật WordPress lên phiên bản 7.1.4 hoặc mới hơn. Phiên bản này đã được nhà phát triển vá lỗi bằng cách thay đổi cách thức xử lý tệp tin tạm và tăng cường kiểm soát quyền truy cập vào thư mục upgrade.

Trong trường hợp chưa thể cập nhật ngay lập tức, các quản trị viên có thể áp dụng các biện pháp giảm thiểu rủi ro (workaround) tạm thời:

• Cấu hình Firewall: Thiết lập quy tắc chặn truy cập công khai từ bên ngoài vào thư mục /wp-content/upgrade/ thông qua cấu hình .htaccess hoặc cấu hình trực tiếp trên Nginx/Apache.
• Hạn chế quyền truy cập: Đảm bảo rằng thư mục wp-content không có quyền ghi (write permission) không cần thiết đối với người dùng web server.
• Giám sát chủ động: Sử dụng các giải pháp WAF (Web Application Firewall) để chặn các mẫu yêu cầu (request patterns) liên quan đến quá trình khai thác TOCTOU.

Việc tuân thủ quy trình vá lỗi dựa trên rủi ro là yếu tố then chốt để bảo vệ hạ tầng trước các cuộc tấn công nhắm vào các lỗ hổng đã được công bố. Mọi thông tin chi tiết về bản vá có thể tham khảo thêm tại National Vulnerability Database (NVD) để cập nhật các hướng dẫn mới nhất từ cộng đồng bảo mật.