Hơn 440.000 lần khai thác nhắm vào lỗ hổng RCE của Super Forms và Elementor Pro
"Wordfence reported more than 440,000 exploit attempts against two critical WordPress plugin vulnerabilities: CVE-2026-14894 in Super Forms and CVE-2026-32475 in Elementor Pro. Both flaws allow unauthenticated file upload leading to remote code execution, and fixes are available in Super Forms 6.3.314 and Elementor Pro 4.2.2; site owners are advised to patch immediately and inspect for malicious PHP files and compromise indicators."
Rủi ro thực thi mã từ xa (RCE) và chiếm quyền website; cần vá ngay và kiểm tra tệp PHP bất thường.
Có thể gây gián đoạn dịch vụ, rò rỉ dữ liệu và phát sinh chi phí xử lý sự cố; ưu tiên kiểm tra toàn bộ site WordPress.
Wordfence cho biết đã ghi nhận hơn 440.000 lần khai thác nhắm vào hai lỗ hổng nghiêm trọng trong các plugin WordPress Super Forms và Elementor Pro. Hai lỗi này là CVE-2026-14894 và CVE-2026-32475, đều cho phép kẻ tấn công không cần xác thực tải lên tệp tùy ý, bao gồm PHP web shell, từ đó dẫn đến thực thi mã từ xa (RCE).
Theo báo cáo, các chiến dịch tấn công đã bị chặn với hơn 250.000 yêu cầu nhắm vào CVE-2026-14894 và khoảng 190.000 yêu cầu nhắm vào CVE-2026-32475. Super Forms đã phát hành bản sửa trong 6.3.314, còn Elementor Pro được khắc phục ở 4.2.2. Với kiểu lỗi tải tệp này, kẻ tấn công có thể chiếm quyền điều khiển website, tạo tài khoản quản trị, hoặc đánh cắp dữ liệu.
Quản trị viên WordPress nên cập nhật ngay lập tức, rà soát thư mục tải lên và các vị trí liên quan để tìm tệp .php bất thường, đồng thời kiểm tra dấu hiệu xâm nhập và nhật ký truy cập. Nếu site có dùng Elementor page chứa Form widget với File Upload field, cần ưu tiên kiểm tra vì đây là điều kiện khai thác của một trong hai lỗ hổng.