Cloudflare WAF bổ sung chặn hai lỗ hổng WordPress mức độ nghiêm trọng
"Cloudflare deployed WAF protections for two high-severity WordPress vulnerabilities: CVE-2026-60137, a SQL injection issue affecting WordPress 6.8 and later, and CVE-2026-63030, an unauthenticated remote code execution flaw affecting WordPress 6.9 and later when persistent object cache is not in use. WordPress released fixes in 7.0.2 and backports for 6.9.5, 6.8.6, and 7.1 Beta 2; the WAF rules are a temporary defense-in-depth measure and do not replace patching."
Giảm rủi ro khai thác ngay lập tức nhờ chặn theo CVE-2026-60137 và CVE-2026-63030; tuy nhiên vẫn cần vá ứng dụng vì WAF không sửa lỗi gốc. Điểm then chốt: chặn RCE không cần xác thực và giảm khả năng SQLi đi vào lớp ứng dụng.
Hỗ trợ giảm gián đoạn trong giai đoạn cập nhật bằng cơ chế chặn tạm thời cho khách hàng dùng WAF; đồng thời giảm nguy cơ sự cố bảo mật ảnh hưởng uy tín và vận hành. Điểm then chốt: giảm bề mặt tấn công trong thời gian patch và yêu cầu rà soát cấu hình rule/override để tránh bỏ chặn.
Cloudflare đã triển khai Web Application Firewall (WAF) để tăng khả năng phòng vệ cho các ứng dụng WordPress trước hai lỗ hổng có mức độ nghiêm trọng cao. Cụ thể, WAF nhắm tới CVE-2026-60137 (SQL Injection) và CVE-2026-63030 (Unauthenticated Remote Code Execution) liên quan đến REST API.
Theo thông tin công bố, CVE-2026-60137 ảnh hưởng WordPress từ 6.8 trở đi, cho phép kẻ tấn công tạo dữ liệu đầu vào để thao túng truy vấn cơ sở dữ liệu. CVE-2026-63030 ảnh hưởng WordPress từ 6.9 trở đi khi không sử dụng persistent object cache, cho phép thực thi mã từ xa mà không cần đăng nhập hoặc tương tác người dùng; lỗ hổng này có liên quan đến SQLi nói trên.
WordPress đã phát hành bản vá 7.0.2 và backport cho 6.9.5, 6.8.6, và 7.1 Beta 2. Cloudflare nhấn mạnh các rule WAF là biện pháp defense-in-depth trong thời gian chuyển tiếp, không thay thế việc cập nhật. Khuyến nghị: đảm bảo hệ thống chạy đúng phiên bản đã vá/backport, đồng thời kiểm tra rằng các rule mới đang ở hành động khuyến nghị và theo dõi Security Events cho các yêu cầu khớp quy tắc.