Cảnh báo lỗ hổng CVE-2026-119977: WordPress đối mặt với 240.000 nỗ lực khai thác RCE

• Lỗ hổng nghiêm trọng: CVE-2026-119977 với điểm CVSS 8.1 cho phép thực thi mã từ xa (RCE) trên các phiên bản WordPress từ 4.7 đến 7.1.3.
• Cơ chế tấn công: Kẻ tấn công lợi dụng các thư mục tạm thời có thể dự đoán được tạo ra trong quá trình nâng cấp WordPress Core để chèn mã độc.
• Tình hình thực tế: Hơn 240.000 nỗ lực khai thác đã được ghi nhận kể từ ngày 28/10/2026, tập trung cao điểm vào cuối tháng 10.
• Khuyến nghị: Quản trị viên cần cập nhật ngay lên phiên bản 7.1.4 hoặc các bản vá mới nhất để ngăn chặn rủi ro bị chiếm quyền điều khiển.

Các nhà nghiên cứu bảo mật vừa phát đi cảnh báo khẩn cấp về một chiến dịch tấn công quy mô lớn nhắm vào lỗ hổng CVE-2026-119977 trong nhân WordPress. Theo dữ liệu từ các hệ thống giám sát, đã có hơn 240.000 nỗ lực khai thác được thực hiện chỉ trong thời gian ngắn, nhắm vào các trang web chưa được vá lỗi. Lỗ hổng này được đánh giá ở mức độ nghiêm trọng với điểm CVSS 8.1, cho phép kẻ tấn công thực thi mã từ xa (RCE) mà không cần bất kỳ quyền truy cập hoặc tương tác người dùng nào.

Phân tích kỹ thuật về lỗ hổng CVE-2026-119977

Lỗ hổng này xuất phát từ cách WordPress xử lý các tệp tin cài đặt trong quá trình nâng cấp hệ thống. Cụ thể, khi thực hiện một bản cập nhật đầy đủ, WordPress sẽ giải nén các tệp cài đặt vào một thư mục tạm thời nằm dưới đường dẫn /wp-content/upgrade/. Trên các phiên bản bị ảnh hưởng (từ 4.7 đến 7.1.3), tên của các thư mục tạm này có cấu trúc dễ dự đoán, cho phép kẻ tấn công xác định vị trí của trình cài đặt thông qua các yêu cầu web (web requests) ngay khi quá trình nâng cấp đang diễn ra.

Đây là một dạng lỗ hổng Time-of-Check, Time-of-Use (TOCTOU), một loại lỗi điều kiện đua (race condition). Để khai thác thành công, kẻ tấn công phải gửi các yêu cầu truy cập vào tệp tin cài đặt đúng thời điểm hệ thống đang thực hiện nâng cấp, trước khi quá trình dọn dẹp (cleanup) tự động xóa bỏ các tệp tạm này. Mặc dù yêu cầu về thời điểm khiến việc khai thác trở nên khó khăn, nhưng với các công cụ tự động hóa, kẻ tấn công có thể liên tục thăm dò để tăng xác suất thành công.

Tác động và chuỗi tấn công

Nếu kẻ tấn công tiếp cận được trình cài đặt bị lộ, chúng có thể thực hiện các bước cài đặt giả mạo, tạo tài khoản quản trị viên (administrator) mới hoặc tải lên các tệp PHP độc hại. Điều này dẫn đến việc chiếm quyền điều khiển toàn bộ trang web, tạo cửa sau (backdoor), thay đổi nội dung hoặc đánh cắp dữ liệu nhạy cảm. Dưới đây là bảng tổng hợp các chỉ số IOCs (Indicators of Compromise) liên quan đến chiến dịch này:

Hướng dẫn phòng thủ và khắc phục

Để bảo vệ hệ thống trước các cuộc tấn công này, quản trị viên cần thực hiện các bước hardening ngay lập tức. WordPress đã phát hành bản vá trong phiên bản 7.1.4. Việc cập nhật lên phiên bản mới nhất là biện pháp phòng thủ hiệu quả nhất hiện nay. Bạn có thể kiểm tra phiên bản hiện tại và thực hiện cập nhật thông qua giao diện quản trị hoặc sử dụng WP-CLI.

⚠️ Cảnh báo quan trọng: Chỉ cập nhật phần mềm là chưa đủ nếu hệ thống đã bị xâm nhập trước đó. Quản trị viên cần kiểm tra kỹ các tài khoản quản trị lạ và các tệp tin PHP bất thường trong thư mục /wp-content/upgrade/ sau khi cập nhật.

Đối với các hệ thống chưa thể cập nhật ngay lập tức, các chuyên gia khuyến nghị áp dụng biện pháp giảm thiểu tạm thời bằng cách chặn quyền truy cập công khai vào các tệp PHP trong thư mục /wp-content/upgrade/ thông qua cấu hình web server (Apache hoặc Nginx). Dưới đây là ví dụ cấu hình chặn truy cập cho Apache:

<Directory "/var/www/html/wp-content/upgrade">    <FilesMatch "\.php$">        Order Allow,Deny        Deny from all    </FilesMatch></Directory>

Việc giám sát các yêu cầu bất thường nhắm vào đường dẫn /wp-content/upgrade/ thông qua các giải pháp WAF (Web Application Firewall) là rất cần thiết để phát hiện sớm các nỗ lực thăm dò. Hãy đảm bảo rằng các quy tắc phát hiện của bạn được cập nhật dựa trên các chỉ số IOCs đã được công bố từ các nguồn NVD và các tổ chức an ninh mạng uy tín.