Hai lần trong năm nay, những kẻ tấn công bắt đầu khai thác lỗ hổng cốt lõi WordPress nghiêm trọng trong vòng vài giờ kể từ khi bản sửa lỗi được công khai: lỗ hổng wp2shell vào tháng 7 và CVE-2026-87902 vào tháng 9 22, ngày WordPress 7.1.2 được vận chuyển. Nếu trang web của bạn chờ thời gian bảo trì hàng tháng thì chính sách vá lỗi của bạn là điều đầu tiên cần thay đổi.
Điều gì đã xảy ra với wp2shell vào tháng 7
Hai lỗ hổng, được theo dõi là CVE-2026-60137 (SQL SQL) và CVE-2026-63030 (thực thi mã tùy ý), có thể được nối chuỗi để chạy mã trên máy chủ WordPress mà không cần đăng nhập. Searchlight Cyber đã báo cáo rằng chúng ảnh hưởng đến WordPress 6.9.0 đến 6.9.4 và 7.0.0 đến 7.0.1, ngay cả trên bản cài đặt tiêu chuẩn không có plugin. WordPress đã phát hành các bản sửa lỗi trong phiên bản 6.9.5 và 7.0.2.
Các công ty bảo mật đã báo cáo các cuộc tấn công đầu tiên trong vòng vài giờ sau khi tiết lộ và các hoạt động khai thác bằng chứng khái niệm từ các nhà nghiên cứu khác đã xuất hiện ngay sau đó. Automattic nói với TechCrunch rằng WordPress.com, Pressable, WPVIP và WP.cloud đã được bảo vệ trước khi các bản vá được công khai, vì vậy các trang web tự lưu trữ không tự động cập nhật sẽ gặp nhiều rủi ro nhất.
Chuyện gì đã xảy ra lần nữa vào tháng 9 22
Vào tháng 9 22, WordPress đã xuất xưởng phiên bản 7.1.2 với bản sửa lỗi cho CVE-2026-87902, một lỗ hổng nghiêm trọng trong cách lõi giải quyết các mẫu trang. Các báo cáo trích dẫn thông báo của WordPress.org xếp hạng nó 9.2 trên CVSS 4.0 và nói rằng nó ảnh hưởng đến các bản phát hành từ 4.7.0 đến 7.1.1 trừ khi áp dụng cổng sau bảo mật. WordPress cũng đã đưa bản sửa lỗi trở lại vào các nhánh cũ hơn, bao gồm 7.0.6 và 6.9.9.
Theo báo cáo, Patchstack đã ghi lại nỗ lực khai thác đầu tiên vào lúc 11:49 UTC cùng ngày. Của chúng tôi 7.1.2 danh sách kiểm tra cập nhật bảo mật bao gồm những gì cần xác minh trên một trang web.
AI thay đổi những gì và những gì chưa được chứng minh
Benjamin Harris của WatchTower, được Techzine trích dẫn sau wp2shell, cho biết mã bằng chứng khái niệm từng xuất hiện khoảng một ngày sau khi được tiết lộ và hiện xuất hiện trong vòng vài giờ, một phần vì các công cụ hỗ trợ AI giúp các nhà nghiên cứu và kẻ tấn công phân tích và tự động hóa nhanh hơn.
Các nhà cung cấp mô hình cũng đang di chuyển theo cách tương tự. Google cho biết Gemini 4 Argon mới của họ có thể tự động tìm, xác thực và vá các lỗ hổng phần mềm quan trọng và trước tiên họ sẽ cấp quyền truy cập sớm cho những người bảo vệ mạng đáng tin cậy. OpenAI liệt kê các mô hình tập trung vào không gian mạng riêng biệt trên trang định giá của nó.
Không điều nào trong số này chứng minh rằng AI đã gây ra một cuộc tấn công cụ thể. Quan điểm thực tế thì hẹp hơn: lên kế hoạch rút ngắn thời gian giữa tư vấn công và khai thác.
Chính sách vá lỗi bạn có thể áp dụng
Những mục tiêu này là điểm khởi đầu, không phải là tiêu chuẩn. Điều chỉnh chúng theo mức độ rủi ro của bạn và tốc độ bạn có thể kiểm tra.
Đưa những ý tưởng vào thực tế.
Từ một cải tiến cụ thể đến một website hoàn chỉnh, chúng tôi giúp bạn xác định phạm vi và triển khai.
Trao đổi về website của tôiGiải pháp Bảo mật WordPress Nâng caoChia sẻ mục tiêu của bạn. Chúng tôi thường phản hồi trong vòng 4 giờ kèm theo các câu hỏi và bước tiếp theo thiết thực.
Năm bước để đặt nó vào vị trí
- Biết những gì bạn chạy. Liệt kê các phiên bản cốt lõi, plugin và chủ đề cho mọi trang web. Với WP-CLI:
phiên bản wp core wp core check-update danh sách plugin wp --update=available danh sách chủ đề wp --update=available- Xem các nguồn phù hợp. Theo dõi nguồn cấp tin tức của WordPress.org và các thông báo bảo mật của máy chủ của bạn, đồng thời chỉ định một người đọc chúng hàng ngày.
- Sử dụng dàn dựng, nhưng đặt khung thời gian cho nó. Kiểm tra bản cập nhật quan trọng trên một bản sao, kiểm tra các hành trình chính, sau đó triển khai. Nếu việc kiểm tra bị đình trệ, hãy sản xuất bản vá và kiểm tra sau.
- Che khoảng trống bằng một lớp bảo vệ. Tường lửa ứng dụng web có thể chặn các kiểu khai thác đã biết trước khi bạn hoàn tất việc vá lỗi. Cloudflare đã bật các quy tắc phát hiện bổ sung cho wp2shell, theo Techzine. Tường lửa làm giảm rủi ro. Nó không phải là sự thay thế cho bản cập nhật.
- Xác minh và ghi lại. Lưu ý phiên bản đã cài đặt, ai kiểm tra cái gì và cái gì còn mở.
Của chúng tôi hướng dẫn phân loại bản vá bảo mật trình bày thứ tự quyết định một cách chi tiết hơn.
Nếu bạn chậm thực hiện một bản vá quan trọng
Hãy coi trang web chạy phiên bản bị ảnh hưởng mà không cập nhật là có thể bị xâm phạm. Kiểm tra tài khoản quản trị viên mới, các tệp lõi đã thay đổi và các tệp PHP lạ:
danh sách người dùng wp --role=quản trị viên wp core verify-checksumsNếu có điều gì đó không ổn, hãy ngừng thực hiện thay đổi và nhận trợ giúp. Của chúng tôi khôi phục trang web bị hack khẩn cấp có thể giúp bạn giải quyết vấn đề và giải quyết nó.
Các câu hỏi thường gặp
Tôi nên vá lỗ hổng nghiêm trọng WordPress nhanh như thế nào?
Đặt mục tiêu trong 24 giờ và không dài hơn 72. Phân loại trong vòng vài giờ, sau đó cập nhật sản xuất sau khi các hành trình quan trọng vượt qua bài kiểm tra nhanh.
Cập nhật tự động có làm cho chính sách vá lỗi trở nên không cần thiết không?
Không. Cập nhật tự động trợ giúp nhưng không phải trang web nào cũng bật tính năng này và các plugin cũng như chủ đề thường cập nhật riêng. Chính sách cho bạn biết ai sẽ kiểm tra, tốc độ như thế nào và điều gì xảy ra khi cập nhật không thành công.
AI có đang làm cho WordPress kém an toàn hơn không?
Không có gì trong các nguồn mà chúng tôi đã xem xét cho thấy bản thân WordPress ngày càng yếu đi. Những gì các nguồn mô tả là các sai sót được phân tích và khai thác nhanh chóng như thế nào sau khi được tiết lộ.
Không chắc chắn trang web của bạn được bảo hiểm?
Chúng tôi chạy Bảo trì WordPress và bảo vệ công việc bao gồm theo dõi bản vá, kiểm tra dàn dựng và giám sát. Gửi cho chúng tôi danh sách trang web của bạn và chúng tôi sẽ cho bạn biết những khoảng trống ở đâu.
