Lỗ Hổng Nghiêm Trọng Trên WordPress Cho Phép Tin Tặc Thực Thi Mã Độc Từ Xa

Một lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trong mã nguồn cốt lõi của WordPress, cho phép kẻ xấu xâm nhập và thực thi mã độc trên máy chủ website mà không cần tài khoản hay bất kỳ sự tương tác nào từ người dùng.

Trong bức tranh an toàn an ninh mạng hiện nay, các nền tảng quản trị nội dung website luôn là đích ngắm hàng đầu của tội phạm mạng. Mới đây, đội ngũ bảo mật WordPress đã phát đi cảnh báo khẩn cấp và phát hành bản vá cho một lỗ hổng đặc biệt nguy hiểm mang mã định danh CVE-2026-87902. Với điểm số đánh giá mức độ nghiêm trọng lên tới 9.2 trên thang điểm CVSS, kẽ hở này đe dọa trực tiếp đến bảo mật hệ thống và quyền riêng tư dữ liệu của hàng triệu website trên toàn cầu. Điểm đáng sợ nhất là tin tặc không cần quyền quản trị, không cần tài khoản đăng nhập và cũng không cần người dùng thực hiện bất kỳ thao tác nhấp chuột nào để kích hoạt tấn công. Kẻ tấn công có thể lợi dụng lỗi kiểm tra đường dẫn thư mục giao diện để ép hệ thống tải lên các tệp lệnh PHP trái phép từ bên ngoài, từ đó mở đường cho việc thực thi mã độc từ xa và thâu tóm quyền kiểm soát máy chủ web.

Lỗ hổng này ảnh hưởng sâu rộng đến hầu hết các phiên bản WordPress từ 4.7.0 cho đến 7.1.1. Thậm chí, ngay cả những website vừa được cập nhật bản vá bảo mật vài ngày trước đó vẫn nằm trong diện gặp nguy hiểm. Mức độ rủi ro sẽ đặc biệt tăng cao trên những hệ thống máy chủ đang bật tùy chọn cấu hình cũ của PHP (như thiết lập register_argc_argv) hoặc sử dụng các giao diện có cấu trúc thư mục đặc thù. Khi các điều kiện này hội tụ, tội phạm mạng có thể dễ dàng biến website thành bàn đạp để cấy ghép virus, phần mềm gián điệp (spyware), làm rò rỉ dữ liệu khách hàng hoặc biến máy chủ thành công cụ phát tán mã độc tống tiền trên diện rộng. Dù hiện tại chưa có báo cáo nào về việc lỗ hổng bị khai thác ồ ạt trong thực tế, nhưng với việc các phân tích kỹ thuật và mã thử nghiệm đã được công bố, thời gian để các chiến dịch tấn công bùng phát chỉ còn tính bằng ngày.

Để bảo vệ an toàn an ninh mạng tuyệt đối cho hệ thống website và dữ liệu người dùng, việc cập nhật phần mềm ngay lập tức là biện pháp phòng vệ tối quan trọng. Quản trị viên cần nhanh chóng truy cập vào bảng điều khiển WordPress và tiến hành cập nhật lên phiên bản an toàn mới nhất tương ứng với nhánh đang chạy (chẳng hạn như 7.1.2, 7.0.6, 6.9.9, hoặc các bản vá tương ứng cho phiên bản cũ hơn). Nếu tính năng tự động cập nhật nền đã được bật, bạn hãy kiểm tra lại nhật ký để đảm bảo quá trình nâng cấp đã hoàn tất thành công. Trong trường hợp chưa thể cập nhật ngay lập tức do hệ thống cần kiểm tra tính tương thích, bạn nên chủ động vô hiệu hóa thiết lập register_argc_argv trong cấu hình PHP và gỡ bỏ các thành phần mã nguồn không sử dụng để thu hẹp bề mặt tấn công. Bên cạnh đó, việc kết hợp sử dụng tường lửa ứng dụng web (WAF) và thường xuyên sao lưu dữ liệu dự phòng sẽ giúp bạn thiết lập một lớp giáp điện tử kiên cố, ngăn chặn mọi âm mưu xâm nhập trái phép và bảo vệ an toàn tối đa cho môi trường số của tổ chức.

Hương - Theo TheHackerNews