[Khẩn Cấp] WordPress Vá Lỗ Hổng CVE-2026-87902 Cực Kỳ Nghiêm Trọng (Cập Nhật Ngay)

Cực Khẩn: WordPress Vá Lỗ Hổng CVE-2026-87902 Cực Kỳ Nghiêm Trọng

WordPress vừa chính thức phát hành bản vá khẩn cấp cho một lỗ hổng bảo mật nghiêm trọng trong mã nguồn cốt lõi (WordPress Core). Lỗi này cho phép kẻ tấn công không cần đăng nhập vẫn có thể ép website tải một tệp PHP nằm bên ngoài thư mục giao diện (theme).

Trên một số cấu hình máy chủ nhất định, kẻ tấn công thậm chí có thể lợi dụng lỗ hổng này để thực thi mã độc tùy ý. Bản vá đã được phát hành vào ngày 22 tháng 9 năm 2026 trong phiên bản WordPress 7.1.2, cùng với các bản cập nhật ngược (backport) cho tất cả các nhánh phiên bản cũ từ 4.7 trở lên. Cộng đồng WordPress khuyến cáo các quản trị viên web cần tiến hành cập nhật ngay lập tức.

Thông Tin Chi Tiết Về Lỗ Hổng CVE-2026-87902

• Điểm đánh giá rủi ro (CVSS): 9.2 (Mức độ Cực kỳ nghiêm trọng / Critical).

• Mã định danh: CVE-2026-87902.

• Điều kiện khai thác: Không cần tài khoản, không cần bất kỳ tương tác nào từ phía người dùng đã đăng nhập.

• Phiên bản bị ảnh hưởng: Tất cả các phiên bản từ WordPress 4.7.0 đến 7.1.1.

Lưu ý quan trọng: Ngay cả khi website của bạn vừa cập nhật lên phiên bản bảo mật 7.1.1 phát hành ngày 17 tháng 9, bạn vẫn phải cập nhật lên 7.1.2. Đây là hai lỗ hổng hoàn toàn độc lập.

Danh Sách Các Phiên Bản Cần Cập Nhật

Để đảm bảo an toàn, các quản trị viên cần cập nhật lên phiên bản tương ứng với nhánh WordPress đang sử dụng:

Các nhánh cũ hơn hỗ trợ xuống tận 4.7.37 cũng đã được nhận bản vá tự động. Chi tiết xem tại ghi chú phát hành của WordPress.

Hướng Dẫn Cập Nhật

• Cập nhật tự động: Các website bật tính năng cập nhật ngầm tự động sẽ được nâng cấp trong thời gian ngắn.

• Cập nhật thủ công: Vào Bảng điều khiển (Dashboard) > Bảng cập nhật (Updates) và nhấn cập nhật, hoặc tải trực tiếp bản cài đặt từ WordPress.org.

• Giải pháp khắc phục: WordPress khẳng định không có giải pháp tạm thời (workaround), nâng cấp phiên bản là cách duy nhất để xử lý triệt mẹ lỗ hổng này.

Cơ Chế Hoạt Động Của Lỗ Hổng Nguyên Nhân Dẫn Đến Thực Thi Mã

Lỗ hổng xuất phát từ cơ chế chọn tệp giao diện mẫu (template file) của WordPress. Khi dựng tên tệp từ đường dẫn URL dạng page-{value}.php, WordPress đã quên kiểm tra các ký tự di chuyển đường dẫn ../ (Path Traversal) — một bước kiểm tra vốn đã có ở các đoạn mã lân cận.

Mức Độ Nguy Hiểm Trên Các Máy Chủ

1. Việc tải tệp PHP cục bộ: Chỉ thực thi những gì tệp đó đã có sẵn.

2. Khai thác thực thi mã (Code Execution): Cần điều kiện thứ hai — trên máy chủ phải có sẵn một tệp PHP có thể bị lợi dụng.

3. Điều kiện thư mục Theme: Cuộc tấn công chỉ hoạt động nếu Theme đang kích hoạt có một thư mục cấp cao nhất có tên bắt đầu bằng page- và tệp mục tiêu phải có đuôi .php. Một số giao diện mặc định cũ của WordPress chứa thư mục thỏa mãn điều kiện này, trong khi các giao diện mặc định mới thì không.

Theo phân tích từ đơn vị bảo mật Patchstack, mức độ nguy cơ của website phụ thuộc vào 2 yếu tố:

1. Giao diện đang dùng có thư mục bắt đầu bằng page- hay không.

2. Cấu hình PHP có bật thiết lập register_argc_argv hay không (một kỹ thuật thực thi mã phổ biến phụ thuộc vào thiết lập này). Cấu hình này mặc định Tắt trên PHP 8.5 nhưng lại Bật theo mặc định trên các bản PHP cũ hơn.

Nhà Nghiên Cứu Phát Hiện Và Khuyến Cáo Tạm Thời

Lỗ hổng được phát hiện bởi nhà nghiên cứu Robert Ressl và báo cáo riêng qua chương trình HackerOne của WordPress vào tháng 7. Khi bản vá được phát hành, ông đã công bố báo cáo kỹ thuật chi tiết cùng mã khai thác thử nghiệm (PoC) trên môi trường isolated lab (WordPress 7.0.2). Trong thử nghiệm, mã độc chạy dưới quyền của tài khoản web-server chứ không chiếm toàn bộ máy chủ.

Đối với các quản trị viên chưa thể cập nhật ngay lập tức, Robert Ressl gợi ý hai bước để giảm thiểu rủi ro (dù không triệt tiêu hoàn toàn lỗ hổng):

• Tắt cấu hình register_argc_argv đối với các yêu cầu web (web requests).

• Gỡ bỏ các thành phần PEAR không sử dụng trên máy chủ.

Tính đến ngày 22 tháng 9 năm 2026, chưa có ghi nhận nào về việc lỗ hổng này bị khai thác thực tế trong các đợt tấn công mạng, và lỗ hổng cũng chưa xuất hiện trong danh mục Known Exploited Vulnerabilities của cơ quan CISA (Mỹ).

Nguồn: thehackernews.com

Tại Hoàng Thiên Kim Solutions khi quý khách sử dụng dịch vụ thiết kế website sẽ được hỗ trợ và tư vấn cũng như xử lý các vấn đề bảo mật tốt nhất có thể.