Lỗ hổng RCE trên WordPress bị tấn công gần 63.000 lần chỉ trong 24 giờ

Cộng đồng bảo mật vừa ghi nhận một làn sóng tấn công mạnh mẽ nhắm vào lỗ hổng Remote Code Execution (RCE) trên WordPress Core. Chỉ trong vòng 24 giờ kể từ khi bản vá được công bố, hệ thống của Wordfence đã chặn đứng gần 63.000 nỗ lực khai thác lỗ hổng này.

Lỗ hổng này ảnh hưởng đến các phiên bản WordPress từ 4.7 đến 7.1.3, với điểm CVSS đạt mức 8.1. Mặc dù chưa được gán mã CVE cụ thể, nhưng tính chất nghiêm trọng của nó đã buộc đội ngũ phát triển phải tung ra bản vá khẩn cấp vào ngày 28/10/2026.

Cơ chế tấn công

Theo phân tích từ nhóm phản ứng đe dọa của Wordfence, lỗ hổng xuất phát từ cách WordPress xử lý các đường dẫn tạm (staging paths) khi thực hiện nâng cấp toàn bộ gói Core. Cụ thể, các tệp tin mới được giải nén vào một thư mục có thể dự đoán trước tại wp-content/upgrade. Nếu kẻ tấn công gửi yêu cầu truy cập vào trình cài đặt (installer) đúng thời điểm WordPress đang giải nén, chúng có thể thực thi mã PHP từ xa trên server.

Alex Thomas, trưởng nhóm phản ứng đe dọa tại Wordfence, giải thích rằng đây là một dạng tấn công tận dụng race condition (điều kiện tranh đua). Kẻ tấn công cần phải canh đúng khoảng thời gian rất ngắn khi quá trình cập nhật đang diễn ra để chiếm quyền điều khiển.

Dấu hiệu bị tấn công

Dữ liệu giám sát cho thấy các nhóm tin tặc đã liên tục dò quét các đường dẫn như setup-config.php để tìm kiếm cơ hội khai thác. Các hành vi này diễn ra liên tục trong nhiều giờ, cho thấy kẻ tấn công đã hiểu rõ cơ chế của lỗ hổng và đang cố gắng tận dụng mọi sơ hở.

Các quản trị viên website được khuyến cáo thực hiện ngay các bước sau:

• Cập nhật ngay lập tức: Nâng cấp website lên phiên bản 7.1.4 để loại bỏ rủi ro.
• Kiểm tra log: Rà soát các yêu cầu bất thường nhắm vào các tệp PHP nằm trong thư mục wp-content/upgrade.
• Rà soát hệ thống: Kiểm tra xem có tài khoản quản trị lạ, plugin không rõ nguồn gốc hoặc các tệp PHP khả nghi nào mới được tạo ra hay không.

Việc cập nhật phần mềm không chỉ là khuyến nghị mà là yêu cầu cấp thiết để bảo vệ website trước làn sóng tấn công đang diễn ra phức tạp này.

Nguồn tham khảo: The Hacker News