Cảnh báo lỗ hổng RCE nghiêm trọng trong WordPress: Hơn 60.000 cuộc tấn công trong 24 giờ

• Nguy cơ RCE: Lỗ hổng cho phép thực thi mã từ xa (RCE) trong quá trình cập nhật WordPress Core, cho phép kẻ tấn công chiếm quyền điều khiển máy chủ.
• Cường độ tấn công: Hơn 60.471 nỗ lực khai thác đã bị chặn đứng chỉ trong 24 giờ sau khi thông tin lỗ hổng được công bố.
• Cơ chế lỗi: Lỗ hổng dựa trên điều kiện Race Condition trong thư mục tạm thời khi thực hiện nâng cấp hệ thống.
• Khuyến nghị: Quản trị viên cần cập nhật ngay lên phiên bản 7.1.4 hoặc các bản vá tương ứng cho từng nhánh phiên bản.

Tổng quan về lỗ hổng RCE trong WordPress Core

Các nhà nghiên cứu bảo mật vừa phát đi cảnh báo khẩn cấp về một lỗ hổng thực thi mã từ xa (RCE) nghiêm trọng trong WordPress Core. Lỗ hổng này đặc biệt nguy hiểm vì nó có thể bị khai thác trong quá trình cập nhật phần mềm, thời điểm mà hệ thống thường được coi là đang trong trạng thái bảo trì an toàn. Theo dữ liệu từ các hệ thống giám sát mối đe dọa, đã có hơn 60.471 nỗ lực tấn công nhắm vào lỗ hổng này chỉ trong vòng 24 giờ đầu tiên.

Cần lưu ý rằng con số này đại diện cho các nỗ lực tấn công bị chặn bởi tường lửa ứng dụng web (WAF), không phải là số lượng trang web đã bị xâm nhập thành công. Tuy nhiên, tần suất tấn công cao cho thấy các tác nhân đe dọa đang tích cực quét và khai thác lỗ hổng này trên quy mô lớn ngay sau khi bản vá được phát hành.

Phân tích kỹ thuật: Cơ chế khai thác Race Condition

Lỗ hổng này xuất phát từ một lỗi Race Condition (điều kiện tranh chấp) xảy ra trong quá trình WordPress giải nén các tệp cập nhật vào thư mục tạm thời (staging directory). Khác với các lỗ hổng yêu cầu quyền truy cập quản trị hoặc thông tin đăng nhập, lỗ hổng này có thể bị khai thác mà không cần xác thực.

Quy trình khai thác của kẻ tấn công

• Xác định thời điểm: Kẻ tấn công cần gửi yêu cầu truy cập vào thư mục tạm thời đúng vào thời điểm hệ thống đang thực hiện giải nén tệp tin cập nhật.
• Khai thác thư mục tạm: Do tên thư mục tạm thời trước đây có thể dự đoán được và tệp tin cài đặt có thể truy cập công khai, kẻ tấn công có thể kết nối trình cài đặt WordPress với cơ sở dữ liệu do chúng kiểm soát.
• Thực thi mã: Sau khi kết nối thành công, kẻ tấn công có thể thực thi mã tùy ý trên máy chủ, dẫn đến việc chiếm quyền điều khiển toàn bộ hệ thống.

Bản vá trong phiên bản 7.1.4 đã giải quyết vấn đề này bằng cách thêm 16 ký tự ngẫu nhiên vào tên thư mục tạm thời, khôi phục cơ chế xử lý tệp index.php để ngăn chặn truy cập trái phép và chặn việc sao chép tệp wp-config.php từ thư mục làm việc sang thư mục tạm.

Bảng tổng hợp các phiên bản bị ảnh hưởng và bản vá

Hướng dẫn phòng thủ và Hardening hệ thống

Để bảo vệ website trước các cuộc tấn công này, quản trị viên cần thực hiện các bước kiểm tra và cập nhật ngay lập tức. Việc trì hoãn cập nhật trong bối cảnh các cuộc tấn công đang diễn ra mạnh mẽ sẽ làm tăng đáng kể rủi ro bị xâm nhập.

⚠️ Cảnh báo quan trọng: Các phiên bản WordPress từ 4.6 trở về trước không còn nhận được các bản cập nhật bảo mật. Nếu hệ thống của bạn đang chạy các phiên bản này, hãy thực hiện nâng cấp lên phiên bản mới nhất ngay lập tức để đảm bảo an toàn.

• Cập nhật Core: Truy cập vào Dashboard, chọn mục Updates và đảm bảo hệ thống đã chạy phiên bản 7.1.4 hoặc các bản backport tương ứng.
• Kiểm soát quyền truy cập: Hạn chế quyền truy cập web công khai vào thư mục wp-content/upgrade/ thông qua cấu hình máy chủ (Nginx hoặc Apache).
• Giám sát log: Kiểm tra log truy cập để phát hiện các yêu cầu bất thường nhắm vào các tệp tin trong thư mục /upgrade/.

Việc sử dụng tường lửa ứng dụng web (WAF) là một lớp bảo vệ bổ sung quan trọng. Tuy nhiên, quản trị viên không nên phụ thuộc hoàn toàn vào WAF vì các quy tắc bảo vệ có thể có độ trễ nhất định (ví dụ: người dùng miễn phí có thể nhận được quy tắc bảo vệ sau 30 ngày). Việc áp dụng bản vá trực tiếp vào mã nguồn WordPress vẫn là phương pháp phòng thủ tối ưu nhất theo khuyến nghị từ WordPress Security Advisory.