WordPress vá lỗi lõi cho lỗ hổng tiền xác thực có thể dẫn tới thực thi mã từ yêu cầu ẩn danh
"WordPress released 6.9.5 and 7.0.2 on July 17, 2026 to fix a pre-authenticated remote code execution flaw in core that can be triggered by an anonymous HTTP request on default installs with no plugins. The issue affects WordPress 6.9.0-6.9.4 and 7.0.0-7.0.1, is described as a REST API batch-route confusion and SQL injection leading to RCE, and no CVE or CVSS had been assigned at the time of publication."
Lỗ hổng cho phép RCE tiền xác thực thông qua yêu cầu ẩn danh trên cài đặt mặc định, làm tăng rủi ro chiếm quyền và cài cắm mã độc. Điểm then chốt: RCE, SQL injection, và REST API batch-route.
Tác động vận hành chủ yếu đến từ yêu cầu nâng cấp gấp và khả năng gián đoạn tích hợp nếu phải áp dụng biện pháp tạm thời như chặn REST API. Điểm then chốt: nâng cấp khẩn cấp, giảm bề mặt tấn công, và rủi ro gián đoạn tích hợp.
WordPress phát hành 6.9.5 và 7.0.2 (ngày 17/07/2026) để khắc phục một lỗ hổng remote code execution (RCE) trong lõi, có thể bị kích hoạt bởi yêu cầu HTTP ẩn danh trên cài đặt mặc định (không cần plugin). Theo mô tả công bố, vấn đề liên quan đến REST API batch-route confusion và SQL injection, dẫn tới khả năng thực thi mã từ xa.
Các phiên bản bị ảnh hưởng gồm 6.9.0–6.9.4 (được sửa trong 6.9.5) và 7.0.0–7.0.1 (được sửa trong 7.0.2). Bài viết cũng ghi nhận bản 7.1 beta2 có cùng bản sửa; các trang còn ở 6.8 vẫn có cập nhật, nhưng là cho một lỗi SQL injection khác trong cùng đợt.
Khuyến nghị: ưu tiên nâng cấp ngay lên 6.9.5/7.0.2 hoặc bản tương đương. Nếu chưa thể cập nhật ngay, các biện pháp tạm thời được nêu gồm chặn endpoint /wp-json/batch/v1 và tuyến rest_route=/batch/v1 tại WAF, hoặc tắt WordPress REST API (có thể ảnh hưởng tích hợp). Ngoài ra có thể dùng plugin ngắn để từ chối /batch/v1 từ người dùng ẩn danh tại rest_pre_dispatch. Tại thời điểm công bố chưa có CVE/CVSS, vì vậy nên theo dõi theo version thay vì dựa vào mã CVE.