Hàng triệu trang WordPress có nguy cơ mất quyền kiểm soát

Các trang web mã nguồn mở WordPress lại tiếp tục đối mặt với nguy cơ bị tội phạm mạng tấn công. Mới đây, một công ty bảo mật đã phát hiện ra lỗ hổng tồn tại trên những trang web WordPress có sử dụng theme và plugin mặc định. Lỗ hổng này có thể khiến tin tặc nắm quyền kiểm soát, điều khiển hệ thống từ xa nếu như quản trị viên vô tình nhấp chuột vào các đường link độc hại.

Theo báo cáo từ hãng bảo mật Sucuri, nhà phát triển David Dede cho biết theme giao diện mặc định trên web WordPress mang tên TwentyFifteen và các các plugin Jetpack (được cài đặt trên 1 triệu trang web) được xác định là có lỗ hổng như trên. Nghĩa là, bất cứ plugin cũng đối mặt với nguy cơ bị hack nếu có bao gồm tập tin example.html – tập tin đi kèm với các gói genericons.

Cũng theo hướng dẫn từ hãng bảo mật này, do thời gian phản ứng nhanh nên lỗ hổng không được liệt vào dạng quá nghiêm trọng. Tuy nhiên, người dùng/quản trị viên website cần có biện pháp bảo vệ trang web của mình khỏi lỗ hổng dễ bị khai thác này. Nghĩa là quản trị viên không được nhấp vào những đường link trên mạng khi lướt web mà không có biện pháp bảo vệ (trình duyệt an toàn, phần mềm diệ virus). Ngoài ra, việc thường xuyên xuyên cập nhật các plugin của trang web cũng là yêu cầu cần thiết.

Một may mắn là nhiều host hiện nay đã hoàn tất việc khắc phục lỗ hổng này, gồm có: GoDaddy, HostPapa, DreamHost, ClickHost, InMotion, WPEngine, Pagely, Pressable, WebSynthesis, Site5, SiteGround. Như vậy, những trang web lưu trữ qua các host này đều đã được bảo vệ. Nếu trang web của bạn nằm ngoài danh sách host lưu trữ này, hãy khắc phục bằng cách loại bỏ hoặc ngăn chặn việc truy cập vào các tập tin example.html từ gói genericons để giảm thiểu nguy cơ bị tấn công.

Xuân Dung

(*) Vui lòng trích dẫn nguồn Kaspersky Shop khi sao chép bài viết