Cập nhật WordPress: Khắc phục lỗ hổng có thể tái diễn
"A vulnerability (CVE-2026-119977) in WordPress versions 4.7 through 7.1.3 allows attackers to potentially execute code on a server during the update process. This occurs because the update process uses the old, unpatched code to unpack files, exposing a temporary installation folder. Mitigation involves blocking web access to the wp-content/upgrade folder or performing a manual update outside the web root."
Lỗ hổng này cho phép thực thi mã từ xa trên máy chủ, đe dọa toàn bộ trang web. Việc khai thác thành công có thể dẫn đến mất dữ liệu và mất quyền kiểm soát.
Các doanh nghiệp sử dụng WordPress có thể bị gián đoạn dịch vụ, mất uy tín và thiệt hại tài chính do lỗ hổng này. Việc khắc phục cần dành nguồn lực IT và có thể gây gián đoạn ngắn hạn.
Nghiên cứu viên bảo mật Umut Bayram phát hiện lỗ hổng (CVE-2026-119977) trong WordPress phiên bản 4.7 đến 7.1.3. Lỗ hổng này cho phép kẻ tấn công thực thi mã trên máy chủ trong quá trình cập nhật. Nguyên nhân là quá trình cập nhật sử dụng mã cũ, chưa được vá, để giải nén các tệp, tạo ra một thư mục tạm thời dễ bị khai thác.
Doanh nghiệp Việt Nam sử dụng WordPress cần quan tâm vì lỗ hổng này đã bị khai thác thực tế. CISA (Cơ quan An ninh Mạng và Cơ sở Hạ tầng Hoa Kỳ) đã đưa lỗ hổng này vào danh mục các lỗ hổng đã biết đang bị khai thác.
WordPress 7.1.4 và các bản cập nhật tương ứng đã được phát hành để khắc phục. Tuy nhiên, bản cập nhật này vẫn sử dụng mã cũ để giải nén tệp, tạo ra một khoảng thời gian ngắn kẻ tấn công có thể lợi dụng.
Kẻ tấn công có thể xác định tên thư mục tạm thời và truy cập trình cài đặt trước khi WordPress xóa thư mục này. Chúng có thể ghi đè tệp cấu hình wp-config.php, từ đó kiểm soát trang web. WordPress 5.9 trở lên sử dụng tên thư mục dự đoán được, làm tăng nguy cơ.
Giải pháp là chặn truy cập web đến thư mục wp-content/upgrade trước khi cập nhật. Hoặc thực hiện cập nhật thủ công bên ngoài thư mục gốc của trang web. WP-CLI không phải là giải pháp vì nó sử dụng trình cập nhật tương tự.
WordPress 4.6 trở xuống không còn nhận được bản cập nhật bảo mật. Các trang web sử dụng phiên bản này nên nâng cấp lên phiên bản được hỗ trợ.
Câu hỏi thường gặp
Lỗ hổng CVE-2026-119977 ảnh hưởng đến phiên bản WordPress nào?
Lỗ hổng này ảnh hưởng đến các phiên bản WordPress từ 4.7 đến 7.1.3. Các phiên bản mới hơn, bao gồm 7.1.4 trở lên, đã được vá.
Làm thế nào kẻ tấn công có thể lợi dụng lỗ hổng này?
Kẻ tấn công có thể lợi dụng lỗ hổng này bằng cách truy cập thư mục tạm thời wp-content/upgrade trong quá trình cập nhật và ghi đè tệp cấu hình wp-config.php.
Giải pháp nào được khuyến nghị để khắc phục lỗ hổng?
Giải pháp được khuyến nghị là chặn truy cập web đến thư mục wp-content/upgrade trước khi cập nhật hoặc thực hiện cập nhật thủ công bên ngoài thư mục gốc của trang web.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý với các doanh nghiệp Việt Nam tự quản lý WordPress. Việc chặn thư mục wp-content/upgrade là biện pháp đơn giản nhưng hiệu quả để giảm thiểu rủi ro. Các doanh nghiệp nên ưu tiên cập nhật lên phiên bản 7.1.4 hoặc mới hơn để được bảo vệ đầy đủ. Điều đáng chú ý là các trang web sử dụng phiên bản WordPress cũ hơn 4.6 cần lên kế hoạch nâng cấp ngay lập tức.