CISA cảnh báo khai thác lỗ hổng WordPress trong quá trình nâng cấp
"CISA has added a Time-of-check Time-of-use (TOCTOU) race condition vulnerability (CVE-2026-119977, CVSS 8.1) in WordPress Core to its Known Exploited Vulnerabilities catalog. This flaw allows unauthenticated attackers to execute arbitrary code during software upgrades due to predictable staging paths. Patches were released in late October 2026, and FCEB agencies have until November 6, 2026 to apply them."
Lỗ hổng CVE-2026-119977 cho phép thực thi mã từ xa (RCE) trên máy chủ WordPress. Kẻ tấn công có thể lợi dụng lỗ hổng này để chiếm quyền kiểm soát trang web.
Các doanh nghiệp sử dụng WordPress có thể gặp phải mất dữ liệu, gián đoạn dịch vụ và thiệt hại uy tín nếu trang web của họ bị tấn công. Việc vá lỗi kịp thời là rất quan trọng.
CISA vừa thêm lỗ hổng Time-of-check Time-of-use (TOCTOU) trong WordPress Core (CVE-2026-119977, CVSS 8.1) vào danh mục các lỗ hổng bị khai thác. Lỗ hổng này cho phép kẻ tấn công thực thi mã tùy ý trong quá trình nâng cấp phần mềm do đường dẫn staging có thể đoán trước.
WordPress đã phát hành bản vá vào cuối tháng 10 năm 2026. Các cơ quan liên bang Hoa Kỳ có đến ngày 6 tháng 11 năm 2026 để áp dụng bản vá này. Với nhiều trang web Việt Nam sử dụng WordPress, việc vá lỗ hổng này là cần thiết để tránh bị tấn công.
Wordfence phát hiện lỗ hổng không yêu cầu tài khoản trên trang web. Kẻ tấn công cần khai thác một khoảng thời gian ngắn trong quá trình cập nhật Core để thực thi mã. Trong 21 giờ đầu sau khi công bố, Wordfence ghi nhận hơn 18.500 yêu cầu nhắm mục tiêu các đường dẫn "setup-config.php". Tính đến thời điểm hiện tại, 12.632 cuộc tấn công đã bị chặn trong 24 giờ qua.
Dữ liệu từ Previdian cho thấy ba nỗ lực khai thác từ một địa chỉ IP ở Vương quốc Anh vào ngày 30 tháng 10 năm 2026. CISA xác nhận việc khai thác, yêu cầu các cơ quan FCEB vá lỗi trước ngày 6 tháng 11 năm 2026. https://thehackernews.com/2026/11/cisa-confirms-hackers-exploiting.html
Câu hỏi thường gặp
CVE-2026-119977 là gì?
CVE-2026-119977 là một lỗ hổng Time-of-check Time-of-use (TOCTOU) trong WordPress Core. Lỗ hổng này cho phép kẻ tấn công thực thi mã tùy ý trong quá trình nâng cấp phần mềm.
Thời hạn để vá lỗ hổng này là khi nào?
Các cơ quan liên bang Hoa Kỳ có đến ngày 6 tháng 11 năm 2026 để áp dụng bản vá. Các trang web WordPress khác nên vá lỗi càng sớm càng tốt.
Wordfence đã chặn được bao nhiêu cuộc tấn công?
Wordfence đã chặn 12.632 cuộc tấn công khai thác lỗ hổng này trong 24 giờ qua (tính đến thời điểm bài viết). Trong 21 giờ đầu tiên sau khi công bố, họ ghi nhận hơn 18.500 yêu cầu tấn công.
Góc nhìn của Orange Cloud
Theo chúng tôi, lỗ hổng này đặc biệt đáng chú ý với các doanh nghiệp Việt Nam sử dụng WordPress cho trang web của họ. Việc vá lỗi kịp thời là quan trọng để ngăn chặn các cuộc tấn công tiềm ẩn. Các nhà phát triển WordPress Việt Nam nên xem xét tích hợp các biện pháp kiểm tra an ninh tự động vào quy trình CI/CD của họ. Điều đáng chú ý là thời gian khai thác lỗ hổng rất ngắn, nhưng số lượng yêu cầu tấn công lớn cho thấy mức độ quan tâm của kẻ tấn công.