Website WordPress còn ở phiên bản bị ảnh hưởng nên được xem là có rủi ro, dù chưa xuất hiện dấu hiệu bất thường. CVE-2026-87902 cho phép yêu cầu từ xa mà không cần đăng nhập hoặc thao tác của nạn nhân. Thông báo bảo mật chính thức của WordPress liệt kê phạm vi phiên bản, điều kiện máy chủ và các bản sửa đã phát hành.
Vì sao CVE-2026-87902 cần được xử lý sớm
CVE-2026-87902 liên quan đến quá trình WordPress tìm tệp template của theme. Trong một số điều kiện về theme và máy chủ, yêu cầu không xác thực có thể khiến máy chủ đọc tệp PHP cục bộ ngoài thư mục theme đang hoạt động. WordPress nêu các điều kiện này trong bản mô tả kỹ thuật của lỗ hổng.
NVD ghi CVSS v3.1 là 8,1 và xếp mức cao. WordPress công bố CVSS v4.0 là 9,2, với vector mạng, không yêu cầu quyền trước và không cần tương tác của người dùng, nhưng vẫn có điều kiện tấn công. Bản ghi NVD của CVE-2026-87902 và dữ liệu KEV của CISA cần được đọc cùng thông báo WordPress, vì mỗi nguồn mô tả một khía cạnh khác nhau.
EPSS ngày 29/9/2026 ghi xác suất khai thác khoảng 19,8%. Dữ liệu FIRST EPSS là dự báo theo dữ liệu quan sát, không xác định một website cụ thể đã bị xâm nhập. CISA đã đưa CVE này vào KEV ngày 25/9/2026; trường ransomware exploitation trong dữ liệu hiện được ghi là Unknown.
Ba việc quản trị viên nên làm
1. Ghi nhận phiên bản WordPress thực tế
Mở trang Dashboard hoặc Updates trong phần quản trị và ghi lại phiên bản WordPress đang chạy. Nếu website do nhà cung cấp hosting quản lý, yêu cầu họ xác nhận phiên bản core, thời điểm cập nhật và bản sao lưu gần nhất. Không nên chỉ nhìn số nhánh lớn: WordPress liệt kê 7.1.0 đến 7.1.1, 7.0.0 đến 7.0.5, 6.9.0 đến 6.9.8 và 6.8.0 đến 6.8.9 trong nhóm bị ảnh hưởng, đồng thời có bản sửa cho các nhánh cũ đến 4.7.
2. Sao lưu, cập nhật và kiểm tra chức năng
Tạo bản sao lưu có thể khôi phục trước khi cập nhật. Bản sửa chính được WordPress nêu gồm 7.1.2, 7.0.6, 6.9.9 và 6.8.10; các nhánh 4.7 đến 6.7 cũng có phiên bản backport riêng. Hãy dùng đúng bản sửa của nhánh đang triển khai, thay vì nhảy phiên bản lớn chỉ vì thấy số mới hơn.
Sau khi cập nhật, kiểm tra lại số phiên bản và thời điểm hoàn tất. Mở trang chủ, biểu mẫu, đăng nhập thành viên, giỏ hàng và thanh toán nếu website có các chức năng này. Ghi lại lỗi, mã phản hồi, thời gian và thay đổi liên quan để nhà cung cấp hosting hoặc nhóm phát triển xử lý.
3. Giảm phơi nhiễm nếu chưa cập nhật được
Nếu chưa thể cập nhật trong ca xử lý, hạn chế truy cập công khai theo biện pháp được nhà cung cấp hỗ trợ và đánh giá máy chủ, theme, tệp PHP cùng nhật ký. Không tự xóa tệp hoặc khởi động lại rồi kết luận hệ thống an toàn. Nếu phát hiện nội dung lạ, tài khoản quản trị mới, thay đổi theme hoặc lưu lượng bất thường, giữ lại nhật ký và bản sao hiện trạng trước khi làm sạch.
Sau khi cô lập, nhóm vận hành cần kiểm tra tài khoản quản trị, plugin, theme, tệp mới tạo, khóa truy cập và các thay đổi trong cơ sở dữ liệu. Đổi thông tin xác thực từ một thiết bị sạch, khôi phục từ bản sao được xác nhận là sạch khi cần, rồi kiểm tra lại toàn bộ phiên bản. Cập nhật core không tự chứng minh rằng một lần truy cập trước đó chưa xảy ra.
Tại Việt Nam thì sao
WordPress được triển khai tại Việt Nam trên nhiều kiểu dịch vụ: hosting dùng chung, máy chủ ảo, máy chủ riêng và gói vận hành do đơn vị thiết kế website bàn giao. Không có một mức giá chung để suy ra chi phí xử lý CVE-2026-87902. Bản thân WordPress là phần mềm mã nguồn mở, nhưng sao lưu, kiểm tra theme, rà nhật ký, cập nhật plugin và hỗ trợ xử lý sự cố có thể nằm trong gói dịch vụ riêng của nhà cung cấp. Vì vậy, chủ website nên hỏi rõ báo giá bao gồm những mục nào thay vì coi giá hosting là giá của toàn bộ việc vá lỗi.
Với website của cửa hàng, trường học, doanh nghiệp hoặc tổ chức tại Việt Nam, việc đầu tiên là xác định ai có quyền quản trị WordPress và ai quản lý máy chủ. Biên bản bàn giao hoặc hợp đồng nên ghi phiên bản core, tên theme, danh sách plugin, nơi lưu bản sao lưu, người phê duyệt cập nhật và cách liên hệ khi phát hiện xâm nhập. Nếu thuê bên ngoài, yêu cầu họ trả lời bằng văn bản website đang chạy bản nào, bản sửa nào sẽ được dùng, có kiểm tra khôi phục hay không và nhật ký được giữ trong bao lâu.
Cổng Thông tin điện tử Chính phủ Việt Nam đăng Luật số 86/2015/QH13 về An toàn thông tin mạng, có hiệu lực từ ngày 1/7/2016. Đây là khung pháp lý chung để đơn vị xem lại trách nhiệm bảo đảm an toàn thông tin, không phải lịch vá riêng cho WordPress và cũng không thay thế hướng dẫn kỹ thuật của nhà phát triển. Khi website xử lý tài khoản, thông tin liên hệ hoặc dữ liệu khách hàng, hồ sơ vận hành nên ghi rõ loại dữ liệu, người được truy cập, bản sao lưu và quy trình xử lý khi có sự cố.
Ở Việt Nam, quản trị viên có thể bắt đầu từ trang Updates của WordPress, hồ sơ nhà cung cấp hosting và thông báo bảo mật của WordPress. Nếu dùng dịch vụ quản trị trọn gói, cần hỏi nhà cung cấp có theo dõi cảnh báo quốc tế hay chỉ cập nhật theo yêu cầu. Không tải bản core từ diễn đàn, nhóm chat hoặc liên kết rút gọn; hãy lấy bản cập nhật từ giao diện quản trị, nhà cung cấp đáng tin cậy hoặc nguồn chính thức đã được kiểm tra. Cách làm này áp dụng được cho cả website nhỏ không có nhân sự an toàn thông tin riêng.
Nếu website phục vụ người dùng tại Việt Nam nhưng máy chủ hoặc đội vận hành ở nước ngoài, địa điểm đó không làm thay đổi điều kiện kỹ thuật của lỗ hổng. Cần kiểm tra cả nhà cung cấp DNS, CDN, hosting và bên giữ quyền truy cập quản trị. Đơn vị có thể dùng bảng kiểm gồm tên miền, máy chủ, phiên bản WordPress, theme, plugin, người phụ trách, thời điểm sao lưu và kết quả kiểm tra sau cập nhật. Bảng này giúp phân biệt tài sản đã được xử lý với tài sản chưa có người nhận trách nhiệm.
Tính đến thời điểm bài viết được thực hiện, chúng tôi chưa tìm thấy số liệu chính thức của cơ quan chức năng Việt Nam về số website trong nước bị khai thác CVE-2026-87902, cũng chưa tìm thấy bảng giá trong nước áp dụng riêng cho việc xử lý lỗi này. Không nên dùng khoảng trống dữ liệu đó để kết luận rủi ro tại Việt Nam thấp. Cách kiểm tra đáng tin cậy vẫn là đối chiếu phiên bản, điều kiện theme và máy chủ, sau đó giữ bằng chứng cập nhật cùng nhật ký liên quan.
Giới hạn của thông tin hiện có
Điều kiện khai thác trong thông báo WordPress phụ thuộc theme đang hoạt động, thư mục bắt đầu bằng page-, tệp PHP đọc được trên máy chủ và một số cấu hình PHP. Vì vậy, điểm CVSS cao không có nghĩa mọi website đều đã bị khai thác, nhưng website ở nhánh bị ảnh hưởng vẫn cần được kiểm tra trước khi đánh giá chi tiết.
WordPress không cần đăng nhập vẫn bị tấn công được sao?
Được. Mô tả của WordPress ghi kẻ tấn công không cần xác thực, quyền trước hoặc thao tác của người dùng. Điều kiện theme và máy chủ vẫn phải được đối chiếu, nhưng việc không có màn hình đăng nhập không phải lý do để bỏ qua bản vá.
Cần cập nhật lên phiên bản nào?
Hãy cập nhật theo nhánh đang chạy. Các mốc chính gồm 7.1.2, 7.0.6, 6.9.9 và 6.8.10; nhánh cũ hơn có bản backport. Danh sách chính thức của WordPress là nơi đối chiếu cuối cùng.
Chỉ cập nhật core có đủ không?
Không. Sau cập nhật cần kiểm tra tài khoản quản trị, plugin, theme, tệp thay đổi và nhật ký. Nếu có dấu hiệu truy cập trước đó, hãy giữ hiện trạng, hạn chế truy cập công khai và chuyển cho nhà cung cấp hosting hoặc nhóm ứng phó sự cố.
