Khai thác lỗ hổng RCE trên WordPress ngay sau khi phát hành bản vá

• Lỗ hổng nghiêm trọng: WordPress Core phiên bản 4.7 đến 7.1.3 tồn tại lỗ hổng RCE trong quy trình cập nhật, cho phép thực thi mã từ xa không cần xác thực.
• Tấn công chủ động: Hơn 18.500 yêu cầu khai thác đã được ghi nhận chỉ trong 21 giờ đầu tiên sau khi bản cập nhật 7.1.4 được công bố.
• Cơ chế khai thác: Kẻ tấn công lợi dụng thư mục tạm wp-content/upgrade để thực thi các tệp tin cài đặt trước khi hệ thống kịp dọn dẹp.
• Khuyến nghị: Quản trị viên cần cập nhật ngay lên phiên bản 7.1.4 và kiểm tra các dấu hiệu xâm nhập bất thường trên máy chủ.

Vào ngày 28 tháng 10 năm 2026, WordPress đã chính thức phát hành phiên bản 7.1.4 nhằm khắc phục 22 lỗ hổng bảo mật khác nhau, trong đó đáng chú ý nhất là lỗ hổng thực thi mã từ xa (Remote Code Execution - RCE) không cần xác thực nằm trong quy trình cập nhật cốt lõi. Chỉ vài giờ sau khi thông báo bảo mật được đưa ra, các hệ thống giám sát đã ghi nhận làn sóng tấn công chủ động nhắm vào các trang web chưa kịp áp dụng bản vá.

Phân tích kỹ thuật về lỗ hổng RCE trong quy trình cập nhật

Theo báo cáo từ các chuyên gia an ninh mạng, lỗ hổng này ảnh hưởng đến các phiên bản WordPress Core từ 4.7 đến 7.1.3. Với điểm số CVSS 8.1, đây là một mối đe dọa nghiêm trọng cho phép kẻ tấn công chiếm quyền điều khiển máy chủ nếu điều kiện môi trường cho phép. Lỗ hổng được phát hiện bởi nhà nghiên cứu Umut Bayram.

Cơ chế lỗi xuất phát từ cách thức WordPress xử lý các gói cập nhật. Khi thực hiện cập nhật bằng gói cài đặt đầy đủ, hệ thống sẽ giải nén các tệp tin vào một thư mục tạm có đường dẫn dự đoán được là wp-content/upgrade. Thư mục này chứa các tệp tin cài đặt (installer) cần thiết cho quá trình nâng cấp.

Điều kiện kích hoạt và chuỗi tấn công

Kẻ tấn công có thể khai thác lỗ hổng này nếu máy chủ web được cấu hình cho phép truy cập công khai và thực thi mã PHP trong thư mục wp-content/upgrade. Quy trình tấn công diễn ra như sau:

• Xác định mục tiêu: Kẻ tấn công quét các trang web WordPress để tìm kiếm sự tồn tại của thư mục tạm trong quá trình cập nhật.
• Đua thời gian (Race Condition): Kẻ tấn công gửi liên tục các yêu cầu HTTP đến đường dẫn tệp tin cài đặt tạm thời trước khi WordPress kịp hoàn tất quá trình cập nhật và xóa bỏ các tệp tin này.
• Thực thi mã: Nếu thành công, kẻ tấn công có thể kích hoạt tệp tin cài đặt và thực thi mã độc tùy ý trên máy chủ.

Dữ liệu từ hệ thống tường lửa cho thấy hơn 18.500 yêu cầu nhắm vào các đường dẫn cài đặt tạm thời đã được ghi nhận chỉ trong 21 giờ đầu tiên. Điều này cho thấy các tác nhân đe dọa đã nhanh chóng đảo ngược kỹ thuật (reverse engineering) bản vá ngay khi nó được công bố để tìm ra vector tấn công.

Bảng tổng hợp thông tin lỗ hổng

Hướng dẫn phòng thủ và giảm thiểu rủi ro

Việc cập nhật lên phiên bản 7.1.4 là biện pháp bắt buộc và quan trọng nhất. Bản vá này đã thực hiện các thay đổi cốt lõi bao gồm: ngẫu nhiên hóa tên thư mục tạm, thêm cơ chế bảo vệ bằng tệp index và chặn các hành vi xử lý không an toàn đối với dữ liệu cấu hình tạm thời.

⚠️ Cảnh báo quan trọng: Việc cập nhật bản vá không thay thế cho các biện pháp bảo mật lớp mạng. Quản trị viên cần kiểm tra kỹ các tệp tin lạ trong thư mục wp-content/upgrade và rà soát các tài khoản quản trị viên (administrator) được tạo mới bất thường sau thời điểm ngày 28/10/2026.

Đối với các hệ thống sử dụng tường lửa ứng dụng web (WAF), người dùng nên kích hoạt tính năng Extended Protection. Khác với bảo vệ cơ bản, tính năng này cho phép tường lửa kiểm tra các yêu cầu trước khi tệp tin PHP được thực thi, giúp ngăn chặn hiệu quả các cuộc tấn công nhắm trực tiếp vào các tệp tin tạm thời trong quá trình cập nhật.

Ngoài lỗ hổng RCE, phiên bản 7.1.4 còn khắc phục các lỗi liên quan đến Stored Cross-Site Scripting (XSS), rò rỉ thông tin và các vấn đề về phân quyền. Do đó, việc trì hoãn cập nhật không chỉ để lộ hệ thống trước nguy cơ RCE mà còn đối mặt với nhiều rủi ro bảo mật khác. Các quản trị viên có thể kiểm tra phiên bản hiện tại thông qua bảng điều khiển Dashboard > Updates để đảm bảo hệ thống đã được bảo vệ an toàn.