Năm lỗ hổng nghiêm trọng trong plugin và theme WordPress có thể dẫn tới chiếm quyền hoặc RCE
"Multiple critical vulnerabilities were disclosed in WordPress plugins and themes, including WPMU DEV Dashboard, Avada, TranslatePress, Pods, and GiveWP. The issues include authentication bypass, arbitrary file write leading to remote code execution, sensitive information exposure, privilege escalation, and arbitrary command execution, with affected versions ranging up to 5.0.1, 7.16/3.16, 3.3.1, 3.3.9, and 4.16.7.1 respectively; fixes are implied by vendor patches referenced by Wordfence and Patchstack."
Nguy cơ chiếm quyền quản trị, RCE và toàn quyền kiểm soát website; một số lỗi có thể bị khai thác bởi kẻ tấn công chưa xác thực.
Có thể gây gián đoạn dịch vụ, rò rỉ dữ liệu và ảnh hưởng uy tín; các site thương mại/phi lợi nhuận dùng WordPress cần ưu tiên vá lỗi.
Nhiều lỗ hổng nghiêm trọng vừa được công bố trong các plugin/theme WordPress gồm WPMU DEV Dashboard, Avada, TranslatePress, Pods và GiveWP. Theo Wordfence và Patchstack, các lỗi này có thể dẫn tới bypass xác thực, chiếm quyền quản trị, rò rỉ thông tin nhạy cảm, leo thang đặc quyền và thực thi lệnh tùy ý trên máy chủ.
Các mã lỗi được nêu gồm CVE-2026-76581, CVE-2026-18431, CVE-2026-19632, CVE-2026-19598 và CVE-2026-82222. Mức độ nghiêm trọng đều rất cao, trong đó nhiều lỗi đạt CVSS 9.8, riêng CVE-2026-82222 đạt CVSS 10.0. Phạm vi ảnh hưởng trải từ các phiên bản đến 5.0.1, 7.16/3.16, 3.3.1, 3.3.9 và 4.16.7.1.
Với GiveWP, chuỗi khai thác có thể dẫn đến remote code execution khi có đủ điều kiện về biểu mẫu quyên góp và cổng thanh toán đang hoạt động. Khuyến nghị quản trị viên kiểm tra ngay phiên bản đang dùng, áp dụng bản vá từ nhà phát hành, và ưu tiên cập nhật các site WordPress có quyền quản trị cao. Đồng thời nên rà soát nhật ký truy cập, tài khoản quản trị và các plugin/theme không còn cần thiết.