Lỗ hổng Elementor Pro cho phép tải PHP và thực thi mã từ xa
"A critical vulnerability in the Elementor Pro WordPress plugin (CVE-2026-32475, CVSS 9.0) could let unauthenticated attackers bypass file-extension checks in the Forms module and upload PHP files to a public directory, enabling remote code execution. The issue affects versions up to 4.2.1 and was fixed in version 4.2.2 after responsible disclosure; a separate WordPress core RCE issue (CVE-2026-65640) was also noted in the article."
Nguy cơ thực thi mã từ xa trên máy chủ WordPress; kẻ tấn công không cần xác thực có thể tải lên PHP và chiếm quyền xử lý ứng dụng.
Có thể dẫn đến xâm nhập website, chèn mã độc và gián đoạn dịch vụ; các site có biểu mẫu tải tệp sẽ chịu rủi ro vận hành cao nếu chưa vá.
Các nhà nghiên cứu bảo mật đã công bố một lỗ hổng nghiêm trọng trong Elementor Pro trên WordPress, được theo dõi là CVE-2026-32475 với điểm CVSS 9.0. Lỗi nằm trong Forms module ở trường File Upload: cơ chế kiểm tra phần mở rộng tệp và bước di chuyển tệp được xử lý tách biệt, khiến kẻ tấn công không cần xác thực có thể vượt qua danh sách chặn và tải lên tệp PHP vào thư mục công khai.
Nếu khai thác thành công, đối tượng tấn công có thể thực thi mã từ xa trên máy chủ bị ảnh hưởng. Lỗ hổng tác động đến các phiên bản 4.2.1 trở xuống và đã được khắc phục trong Elementor Pro 4.2.2 sau khi được báo cáo có trách nhiệm. Điều kiện để khai thác là website có ít nhất một trang Elementor đã xuất bản chứa widget Form với trường tải tệp.
Khuyến nghị quản trị viên cập nhật ngay lên 4.2.2, rà soát các biểu mẫu có chức năng tải tệp, và kiểm tra thư mục wp-content/uploads/elementor/forms/ để phát hiện tệp bất thường. Ngoài ra, nên theo dõi các thay đổi trái phép, tài khoản lạ và plugin không rõ nguồn gốc trên hệ thống WordPress.