Backdoor WordPress tự phục hồi sau khi dọn dẹp
"Researchers described a WordPress backdoor dubbed SC that persists by rebuilding itself from multiple locations across files, the database, shared memory, and cron-triggered loaders, allowing reinfection even after cleanup. The article also notes active exploitation of a separate WordPress plugin flaw, CVE-2026-1581, an unauthenticated SQL injection in wpForo Forum up to version 2.4.14; the reported fix is to remove the malware copies and patch or update the vulnerable plugin."
Rủi ro cao do backdoor tự phục hồi và có thể duy trì quyền truy cập sau dọn dẹp; đồng thời CVE-2026-1581 đang bị khai thác thực tế.
Có thể gây chiếm quyền website, chèn mã độc vào người dùng truy cập và làm gián đoạn vận hành; việc khắc phục có thể tốn nhiều vòng kiểm tra do cơ chế tái nhiễm.
Các nhà nghiên cứu an ninh ghi nhận một chiến dịch xâm nhập WordPress với backdoor có tên SC, nổi bật ở khả năng tự tái tạo sau khi bị gỡ bỏ. Mã độc này được rải trên nhiều vị trí cùng lúc, gồm tệp tin, cơ sở dữ liệu, shared memory và các cron loader, nên việc xóa một thành phần riêng lẻ thường không đủ để chấm dứt lây nhiễm.
Theo mô tả, backdoor có thể ẩn khỏi màn hình quản trị plugin, liên lạc với C2 qua hạ tầng blockchain, thu thập thông tin hệ thống, tạo tài khoản quản trị ẩn, tải thêm payload và thực thi PHP code tùy ý. Cơ chế phục hồi còn dựa trên các thành phần như .user.ini, advanced-cache.php, db.php, theme và các bản sao trong mu-plugins/plugins.
Song song, một lỗ hổng khác trong wpForo Forum đang bị khai thác tích cực: CVE-2026-1581, lỗi SQL injection chưa xác thực, ảnh hưởng đến các phiên bản đến 2.4.14. Khuyến nghị kỹ thuật là xóa toàn bộ bản sao mã độc, kiểm tra lại các vị trí lưu trữ bất thường, đồng thời cập nhật hoặc vá wpForo Forum ngay khi có thể. Cần rà soát thêm log, tài khoản quản trị, tác vụ cron và các tệp cấu hình để tránh tái nhiễm.