WordPress 4.7 đến 7.1.3 có lỗ hổng trong quy trình nâng cấp toàn bộ mã nguồn. Kẻ tấn công chưa đăng nhập vẫn có thể thực thi mã trên máy chủ trong khoảng thời gian hệ thống tạo gói nâng cấp. WordPress cho biết bản 7.1.4 đã sửa điểm yếu trong quy trình nâng cấp và khuyến nghị cập nhật ngay.
Phạm vi ảnh hưởng và mức độ rủi ro
Hồ sơ Wordfence của CVE-2026-119977 ghi nhận điểm CVSS 8,1 trên 10 và phạm vi ảnh hưởng từ WordPress 4.7.0 đến 7.1.3. Lỗi liên quan đến các đường dẫn tạm có thể đoán được trong lúc nâng cấp toàn bộ gói mã nguồn. Điều kiện khai thác không yêu cầu tài khoản, đăng nhập hay thao tác của người dùng.
Thực thi mã từ xa có nghĩa là mã do kẻ tấn công chuẩn bị được chạy trên máy chủ của website. Hậu quả thực tế còn tùy quyền của tiến trình web, cấu hình máy chủ, dữ liệu được lưu và các lớp kiểm soát khác. Không nên xem điểm CVSS là kết luận rằng mọi website dùng WordPress sẽ bị chiếm quyền theo cùng một cách.
CISA đã đưa CVE-2026-119977 vào danh mục Known Exploited Vulnerabilities, tức danh mục các lỗ hổng mà cơ quan này ghi nhận có bằng chứng bị khai thác. Dữ liệu của CISA đánh dấu trường liên quan đến hoạt động ransomware là Unknown. Vì vậy, chưa thể dùng trường này để nói rằng ransomware đã khai thác lỗ hổng.
Quản trị viên nên làm gì
Trước tiên, đăng nhập bảng điều khiển WordPress, mở mục Updates và ghi lại phiên bản lõi đang chạy. Nếu website do nhà cung cấp máy chủ hoặc đơn vị vận hành quản lý, yêu cầu họ xác nhận phiên bản thực tế, nhánh sửa lỗi, thời điểm cập nhật và kết quả kiểm tra sau khi khởi động lại dịch vụ.
Website ở nhánh 7.1 cần nâng cấp lên 7.1.4 hoặc bản mới hơn đã được WordPress phát hành. Các nhánh khác phải đối chiếu danh sách phiên bản bị ảnh hưởng và phiên bản đã sửa của Wordfence; không lấy 7.1.4 làm mục tiêu chung cho mọi website.
WordPress khuyến nghị cập nhật từ Dashboard, mục Updates, rồi chọn Update Now. Đơn vị vận hành nên lưu lại phiên bản trước và sau khi cập nhật, bản sao lưu, thời điểm thực hiện và người chịu trách nhiệm. Không tải gói cài đặt từ liên kết gửi qua thư điện tử hoặc mạng xã hội nếu không đối chiếu được với nguồn chính thức.
Kiểm tra sau khi vá
Nếu website từng chạy phiên bản bị ảnh hưởng và đã thực hiện nâng cấp toàn bộ gói mã nguồn, chỉ nhìn thấy phiên bản mới là chưa đủ. Quản trị viên nên kiểm tra tài khoản quản trị, lịch sử đăng nhập, tệp lõi, tệp cấu hình, thư mục tải lên và nhật ký máy chủ trong khoảng thời gian có rủi ro.
Dấu hiệu cần ghi nhận gồm tài khoản mới không rõ nguồn gốc, thay đổi quyền, tệp PHP lạ, mã nguồn bị sửa ngoài lịch sử triển khai, yêu cầu đến đường dẫn tạm hoặc lần đăng nhập từ địa chỉ không quen thuộc. Những dấu hiệu này không tự chứng minh đã xảy ra tấn công, nhưng là cơ sở để chuyển việc kiểm tra sang người phụ trách ứng cứu hoặc đơn vị có khả năng phân tích nhật ký.
CISA BOD 26-04 đề cập cách ưu tiên cập nhật dựa trên mức độ phơi lộ và rủi ro của tài sản. Tài liệu hướng dẫn thực hiện của CISA cũng nêu việc đánh giá tài sản, biện pháp giảm thiểu và trách nhiệm khi chưa thể cập nhật. Hai tài liệu này là chỉ thị và hướng dẫn áp dụng cho cơ quan liên bang dân sự của Hoa Kỳ; tổ chức khác chỉ nên dùng chúng làm khung tham khảo.
Tại Việt Nam thì sao
Website WordPress đặt máy chủ hoặc phục vụ người dùng ở Việt Nam không có bản vá riêng theo quốc gia cho CVE-2026-119977. Quản trị viên vẫn phải xác định phiên bản lõi, đối chiếu nhánh phát hành và cài đúng bản sửa từ WordPress. Nếu đơn vị thuê máy chủ, thuê dịch vụ quản trị hoặc dùng một nhà cung cấp triển khai website, cần yêu cầu bên đó trả lời bằng thông tin kiểm chứng được: phiên bản đang chạy, bản vá đã cài, thời điểm thực hiện và người xác nhận.
Trong thực tế tại Việt Nam, website của cửa hàng, trường học, tổ chức xã hội và doanh nghiệp nhỏ có thể do nhiều bên cùng quản lý: người tạo nội dung, công ty thiết kế, nhà cung cấp hosting và nhân sự công nghệ thông tin nội bộ. Rủi ro dễ bị bỏ sót nằm ở chỗ không ai giữ danh sách phiên bản và nhật ký thay đổi. Một bảng theo dõi đơn giản nên có tên miền, máy chủ, nhánh WordPress, phiên bản PHP, phiên bản plugin và theme, người phụ trách, ngày sao lưu gần nhất, ngày cập nhật gần nhất và kết quả kiểm tra sau cập nhật.
Luật An toàn thông tin mạng số 86/2015/QH13 được đăng trên Cổng Thông tin điện tử Chính phủ. Đây là văn bản pháp luật của Việt Nam về an toàn thông tin mạng, nhưng không chỉ định WordPress phải chạy phiên bản nào cho CVE-2026-119977. Doanh nghiệp nên đọc yêu cầu áp dụng cho loại hệ thống và dữ liệu của mình, sau đó chuyển thành quy trình quản lý bản vá, sao lưu, phân quyền và xử lý sự cố. Không nên trích một điều khoản cụ thể nếu chưa đối chiếu toàn văn và tình trạng hiệu lực của văn bản liên quan.
Với website bán hàng, cổng thông tin hoặc hệ thống có dữ liệu khách hàng, việc cập nhật nên được thử trước trên bản sao hoặc môi trường kiểm thử nếu quy trình của đơn vị có hỗ trợ. Sau khi cập nhật, kiểm tra trang đăng nhập, biểu mẫu, chức năng tải tệp, kết nối thanh toán và các plugin quan trọng để phát hiện lỗi vận hành. Bản sao lưu phải được kiểm tra khả năng khôi phục, không chỉ ghi nhận rằng một tác vụ sao lưu đã chạy.
Nếu phát hiện tệp lạ, tài khoản quản trị mới, thay đổi nội dung không được phê duyệt hoặc nhật ký truy cập bất thường, hãy giữ nguyên bằng chứng cần thiết và báo cho đầu mối kỹ thuật. Việc xóa ngay tệp hoặc cài lại toàn bộ website có thể làm mất dữ liệu phục vụ xác định nguyên nhân. Khi tổ chức có quy trình ứng cứu, cần ghi nhận thời điểm phát hiện, phạm vi hệ thống, tài khoản liên quan và các bước đã thực hiện.
Tính đến thời điểm bài viết được thực hiện, chúng tôi chưa tìm thấy số liệu chính thức của cơ quan chức năng Việt Nam về số website bị ảnh hưởng riêng bởi CVE-2026-119977. Do đó, ưu tiên xử lý nên dựa trên hồ sơ phiên bản của từng website, mức độ website được công khai, dữ liệu mà website lưu trữ và bằng chứng trong nhật ký, thay vì suy đoán từ số liệu của quốc gia khác.
Câu hỏi thường gặp
Những phiên bản WordPress nào bị ảnh hưởng?
Wordfence liệt kê các bản phát hành từ 4.7.0 đến 7.1.3 trong phạm vi bị ảnh hưởng. Mỗi nhánh có bản sửa riêng, nên cần đối chiếu phiên bản thực tế với danh sách của Wordfence.
WordPress 7.1 cần nâng cấp lên đâu?
Nhánh 7.1 cần nâng cấp lên 7.1.4 hoặc bản mới hơn đã được phát hành. Phiên bản này không phải mục tiêu chung cho các nhánh cũ.
Cập nhật xong có cần kiểm tra bị xâm nhập không?
Có, nếu website từng chạy phiên bản bị ảnh hưởng và thực hiện nâng cấp toàn bộ gói mã nguồn. Hãy kiểm tra tài khoản, tệp mã nguồn và nhật ký máy chủ; bản vá hiện tại không thể tự xác nhận rằng trong quá khứ chưa từng có khai thác.
