Lỗi WordPress Comment2Shell có thể dẫn từ XSS sang RCE
"WordPress core contained a flaw dubbed Comment2Shell, tracked as CVE-2026-93485, where an anonymous comment could be transformed into stored XSS and, if viewed by a logged-in administrator, escalate to remote code execution via the admin session. WordPress fixed the issue in 7.1.1 and backported fixes to supported branches; the bug affected versions 4.7 through 7.1 and required comment display conditions plus comment approval exposure to be exploitable."
Rủi ro cao do có thể chuyển từ XSS sang RCE khi quản trị viên mở trang bị chèn mã. Ảnh hưởng đến WordPress core và có thể dẫn tới chiếm quyền máy chủ nếu bị khai thác thành công.
Có thể gây gián đoạn website, rủi ro rò rỉ dữ liệu và phát sinh chi phí xử lý sự cố. Các hệ thống dùng WordPress 4.7–7.1 cần ưu tiên cập nhật bản vá và kiểm tra dấu hiệu xâm nhập.
WordPress đã vá một lỗi trong WordPress core được theo dõi là CVE-2026-93485, còn gọi là Comment2Shell, trong bản 7.1.1 phát hành ngày 17/9. Lỗi này cho phép một người dùng ẩn danh gửi comment chứa mã độc, sau đó nội dung có thể trở thành stored XSS khi được hiển thị. Nếu một quản trị viên đã đăng nhập mở trang chứa bình luận đó, mã độc có thể chạy trong phiên làm việc của quản trị viên và tiến tới remote code execution (RCE) trên máy chủ.
Theo mô tả kỹ thuật, vấn đề nằm ở khoảng trống giữa bước kiểm tra HTML khi lưu bình luận và bước định dạng lại khi hiển thị. Khai thác còn phụ thuộc vào cách giao diện hiển thị bình luận, và chỉ xảy ra khi bình luận xuất hiện trên trang, tức subject to comment approval. Tuy nhiên, việc kiểm duyệt bình luận không phải là một biện pháp bảo vệ đủ mạnh.
Lỗi ảnh hưởng đến các phiên bản từ 4.7 đến 7.1. Khuyến nghị là cập nhật ngay lên 7.1.1 hoặc bản vá tương ứng trên nhánh đang dùng, ví dụ 7.0.5 hay 6.9.8. Nếu chưa thể cập nhật, nên tắt bình luận hoặc chặn tạm bằng WAF/security plugin. Sau khi vá, cần rà soát plugin lạ và tệp bất thường vì bản vá không loại bỏ thay đổi đã bị chèn trước đó.