WordPress vá lỗ hổng chuỗi cho phép RCE trước xác thực, khuyến nghị cập nhật ngay
"WordPress fixed two vulnerabilities, CVE-2026-60137 (moderate SQL injection) and CVE-2026-63030 (critical REST API batch-route confusion), that can be chained to achieve unauthenticated remote code execution. Exploitation began within hours of disclosure, with attackers using public PoCs to steal hashed credentials, create backdoor admin accounts, deploy malicious plugins, and attempt further payload delivery; affected users were urged to update immediately, and forced auto-updates were enabled for impacted versions."
Nguy cơ cao do RCE trước xác thực có thể đạt được khi chained CVE-2026-60137 và CVE-2026-63030; kèm theo khả năng trích xuất thông tin xác thực và cài cắm hậu truy cập.
Tác động vận hành đáng kể vì có thể dẫn tới chiếm quyền quản trị, thay đổi nội dung/tiện ích và phát tán mã độc; các tổ chức trì hoãn vá có nguy cơ bị xâm nhập kéo dài và tăng chi phí điều tra khắc phục.
Các tác nhân đe doạ đang khai thác nhanh các bản vá mới của WordPress, sau khi công bố hai lỗ hổng có thể chuyển tiếp (chained) để đạt remote code execution (RCE) trước xác thực. Cụ thể, WordPress đã phát hành bản vá cho CVE-2026-60137 (SQL injection mức độ trung bình) và CVE-2026-63030 (lỗi REST API batch-route confusion mức độ nghiêm trọng). Khi kết hợp, lỗi route confusion làm các mảng con-requests, kết quả kiểm tra và handler bị lệch hàng, khiến WordPress hiểu nhầm yêu cầu nào đã được xác thực và có thể coi các yêu cầu đáng lẽ bị chặn là “đáng tin”.
Theo các nhóm nghiên cứu, việc khai thác bắt đầu trong vòng vài giờ sau công bố, sử dụng PoC công khai để trích xuất thông tin xác thực băm, sau đó dẫn tới RCE khi có thêm chi tiết. Các quan sát cũng ghi nhận hành vi tạo tài khoản quản trị hậu cài đặt, triển khai plugin giả mạo để duy trì truy cập hoặc tải thêm công cụ; trong một số trường hợp, kẻ tấn công thử tải Overlord RAT.
Người dùng được khuyến nghị cập nhật ngay: WordPress 6.9.5 (vá cả hai), 6.8.6 (vá CVE-2026-60137), và 7.1 Beta 2 (vá cả hai). Ngoài ra, cần kiểm tra sự xuất hiện của tài khoản admin mới, plugin độc hại và các tệp bất thường, kể cả khi đã cập nhật.