WordPress 7.1.4 vá 22 lỗ hổng bảo mật, bao gồm RCE không cần xác thực

• Cập nhật khẩn cấp: WordPress 7.1.4 đã được phát hành để vá 22 lỗ hổng bảo mật, bao gồm một lỗi RCE nghiêm trọng trong tiến trình cập nhật.
• Cơ chế tấn công: Lỗ hổng RCE dựa trên điều kiện tranh chấp (race condition) tại thư mục wp-content/upgrade/ trong quá trình cập nhật.
• Phạm vi ảnh hưởng: Nhiều phiên bản WordPress cũ và mới đều bị ảnh hưởng, yêu cầu quản trị viên thực hiện cập nhật ngay lập tức.
• Khuyến nghị: Ngoài việc cập nhật, quản trị viên nên cấu hình chặn truy cập web vào thư mục wp-content/upgrade/ để tăng cường bảo mật.

Vào ngày 28 tháng 10 năm 2026, đội ngũ phát triển WordPress đã chính thức công bố phiên bản 7.1.4, giải quyết tổng cộng 22 lỗ hổng bảo mật khác nhau. Đáng chú ý nhất trong số này là một lỗ hổng thực thi mã từ xa (RCE) không cần xác thực nằm trong tiến trình cập nhật của hệ thống. Các nhà nghiên cứu bảo mật nhấn mạnh rằng đây là một bản cập nhật quan trọng mà mọi quản trị viên website cần triển khai ngay lập tức để tránh nguy cơ bị chiếm quyền điều khiển.

Phân tích kỹ thuật lỗ hổng RCE trong tiến trình cập nhật

Theo phân tích từ các chuyên gia, lỗ hổng RCE nghiêm trọng nhất liên quan đến một điều kiện tranh chấp (race condition) xảy ra trong quá trình WordPress giải nén các tệp tin cập nhật. Kẻ tấn công cần phải truy cập vào một thư mục cài đặt tạm thời tại thời điểm chính xác khi hệ thống đang thực hiện tiến trình nâng cấp.

Trước đây, các thư mục tạm thời này thường có tên dễ đoán và quy trình dọn dẹp sau khi cập nhật thường xóa tệp index.php, vô tình để lộ trình cài đặt WordPress chưa hoàn thiện. Nếu kẻ tấn công truy cập được vào thư mục này trong khoảng thời gian ngắn ngủi đó, chúng có thể thực thi tiến trình thiết lập (setup) bằng cơ sở dữ liệu do chúng kiểm soát, từ đó dẫn đến khả năng thực thi mã tùy ý trên máy chủ.

Các biện pháp khắc phục trong phiên bản 7.1.4

Để ngăn chặn triệt để kỹ thuật khai thác này, phiên bản 7.1.4 đã triển khai các cơ chế phòng thủ cứng (hardening) sau:

• Ngẫu nhiên hóa tên thư mục: Thêm 16 ký tự ngẫu nhiên vào tên các thư mục tạm thời, khiến kẻ tấn công không thể dự đoán được đường dẫn.
• Khôi phục bảo vệ index.php: Đảm bảo tệp tin này luôn tồn tại để ngăn chặn việc truy cập trực tiếp vào trình cài đặt.
• Chặn sao chép wp-config.php: Ngăn chặn việc tệp cấu hình quan trọng bị sao chép từ thư mục làm việc, giảm thiểu rủi ro lộ thông tin nhạy cảm.

Các lỗ hổng Stored XSS và kiểm soát quyền hạn

Bên cạnh lỗ hổng RCE, bản cập nhật này còn giải quyết nhiều vấn đề liên quan đến Stored Cross-Site Scripting (XSS) và lỗ hổng kiểm soát quyền truy cập. Các lỗ hổng này đặc biệt nguy hiểm vì mã độc có thể được lưu trữ vĩnh viễn trên trang web và thực thi khi người dùng khác truy cập vào nội dung bị ảnh hưởng.

Các lỗ hổng XSS được tìm thấy trong Interactivity API, các khối markup tùy chỉnh, danh mục (Categories) và nhãn điều hướng. Việc xử lý hình ảnh và danh sách phát (Playlist) cũng đã được tăng cường bảo mật để ngăn chặn các payload độc hại.

Hướng dẫn phòng thủ và săn tìm mối đe dọa

Các quản trị viên cần thực hiện kiểm tra phiên bản hiện tại và cập nhật lên 7.1.4 thông qua bảng điều khiển quản trị. Đối với các hệ thống lớn, việc xác nhận phiên bản sau khi cập nhật là bắt buộc thay vì chỉ dựa vào thông báo tự động.

⚠️ Cảnh báo quan trọng: Các phiên bản WordPress 4.6 trở về trước hiện không còn nhận được các bản cập nhật bảo mật. Nếu bạn đang vận hành các phiên bản này, hãy lên kế hoạch nâng cấp hệ thống ngay lập tức để tránh các rủi ro bảo mật không thể khắc phục.

Để tăng cường bảo mật ở cấp độ máy chủ, các chuyên gia khuyến nghị cấu hình chặn truy cập web vào thư mục wp-content/upgrade/ bằng cách sử dụng cấu hình web server như sau:

# Ví dụ cấu hình chặn truy cập trong .htaccess cho Apache: 
<Directory "/var/www/html/wp-content/upgrade/">
    Order Deny,Allow
    Deny from all
</Directory>

Ngoài ra, việc rà soát lại danh sách người dùng có quyền Contributor trở lên là cần thiết để giảm thiểu rủi ro từ các tài khoản bị chiếm đoạt. Mặc dù các plugin tường lửa có thể hỗ trợ, nhưng chúng có thể không bảo vệ được trình cài đặt được giải nén độc lập, do đó việc cập nhật core WordPress vẫn là ưu tiên hàng đầu.