WordPress vá lỗi XSS trước xác thực, có thể dẫn đến thực thi PHP
"WordPress fixed a pre-authentication reflected XSS in the login screen, tracked as CVE-2026-64638 with a CVSS score of 8.9, affecting all versions and backported through the 4.7 branch. Researchers showed the XSS can be chained into PHP code execution when a logged-in administrator interacts with an attacker-controlled page, with the issue patched in WordPress 7.0.3 on August 6 and updates recommended immediately."
Rủi ro XSS trước xác thực có thể dẫn tới chiếm phiên quản trị và trong một số điều kiện có thể leo thang thành thực thi PHP. Cần cập nhật WordPress 7.0.3 ngay.
Có thể ảnh hưởng đến tính toàn vẹn website, quyền quản trị và khả năng bị cài nội dung hoặc plugin trái phép. Việc chậm vá có thể làm tăng rủi ro gián đoạn vận hành và xử lý sự cố.
WordPress đã vá một lỗ hổng reflected XSS trước xác thực trên màn hình đăng nhập, được theo dõi là CVE-2026-64638 với điểm CVSS 8.9. Lỗi ảnh hưởng đến mọi phiên bản WordPress, và bản sửa đã được backport đến nhánh 4.7. Theo nghiên cứu công bố, kẻ tấn công có thể kích hoạt JavaScript trong trình duyệt của nạn nhân chỉ bằng một chuỗi đăng nhập được tạo sẵn; nếu một quản trị viên đã đăng nhập tương tác với trang do kẻ tấn công kiểm soát, chuỗi khai thác có thể leo thang tới thực thi mã PHP trên máy chủ.
WordPress cho biết việc leo thang lên RCE còn phụ thuộc vào điều kiện ngoài tầm kiểm soát của kẻ tấn công và cần có tương tác người dùng. Tuy vậy, lỗ hổng vẫn được đánh giá nghiêm trọng vì có thể mở đường cho chiếm quyền quản trị, cài plugin độc hại hoặc tải lên gói ZIP tùy ý.
Bản vá đã được phát hành trong WordPress 7.0.3 vào ngày 6/8, và các site nên cập nhật ngay. Các hệ thống bật tự động cập nhật nền có thể nhận bản phát hành bảo mật này tự động. Với môi trường doanh nghiệp, nên kiểm tra phiên bản đang chạy, xác nhận cập nhật thành công và rà soát nhật ký quản trị sau khi nâng cấp.