24/09/2026 · VietTechies · Biên tập
Kẻ tấn công đã chuyển từ việc dò tìm các website WordPress tồn tại lỗ hổng nghiêm trọng sang khai thác lỗ hổng này để ghi các tệp có thể thực thi lệnh shell khi được truy cập. Công ty bảo mật WordPress Patchstack ghi nhận hoạt động trên sau khi WordPress phát hành phiên bản 7.1.2 để xử lý CVE-2026-87902, lỗ hổng được đội ngũ bảo mật WordPress chấm mức nghiêm trọng 9,2 trên 10.
Hoạt động khai thác xuất hiện sau bản vá
Theo Patchstack, các yêu cầu độc hại đầu tiên xuất hiện lúc 17:44 UTC ngày 22/9, chưa đầy 5 giờ sau khi bản sửa lỗi được phát hành. Lưu lượng ban đầu chủ yếu phục vụ trinh sát, trong đó có các nỗ lực đưa những tệp lõi WordPress thông thường vào để xác định các hệ thống dễ bị tấn công. Đến ngày 23/9, lưu lượng liên quan đến lỗ hổng đã tăng gấp 10 lần và bắt đầu bao gồm các nỗ lực phát tán payload.
Lỗ hổng cho phép thực thi mã như thế nào
CVE-2026-87902 là lỗ hổng path traversal không cần xác thực trong quá trình phân giải page-template. Trong một số điều kiện nhất định, kẻ tấn công có thể khiến hàm get_page_template() đưa một tệp PHP cục bộ có thể đọc được vào quá trình xử lý, dù tệp nằm ngoài các thư mục theme đang hoạt động. Để thực thi mã từ xa (RCE), theme cha hoặc theme con đang hoạt động phải có thư mục cấp cao nhất bắt đầu bằng page-, chẳng hạn page-templates; máy chủ cũng phải có một tệp PHP phù hợp và cho phép tài khoản máy chủ web đọc tệp đó.
Patchstack quan sát thấy các payload ghi tệp vào /tmp và /var/tmp. Một số payload chỉ ghi chuỗi đánh dấu máy chủ có thể bị khai thác, trong khi những payload khác tạo các tệp chứa mã thực thi lệnh shell khi được truy cập. Công ty bảo mật không công bố ví dụ yêu cầu có thể hoạt động, nhưng cho biết các lượt dò được quan sát sử dụng chuỗi path traversal mã hóa hai lần trong tham số pagename cùng với một page_id hợp lệ.
Những hệ thống cần được xử lý
WordPress đã sửa lỗ hổng trong phiên bản 7.1.2 và đưa bản sửa lỗi ngược về các nhánh phát hành cũ, tới tận phiên bản 4.7. Các phiên bản trước 4.6 sẽ không nhận được bản sửa cho lỗ hổng này. Image PHP chính thức dành cho Docker cũng bị ảnh hưởng. Cấu hình cPanel mặc định cũng chịu tác động khi sử dụng phiên bản PHP cũ hơn 8.5.
Khuyến nghị ứng phó
Quản trị viên nên cập nhật lên WordPress 7.1.2 sớm nhất có thể và kiểm tra nhật ký máy chủ để tìm các yêu cầu đáng ngờ hoặc tệp PHP mới được tạo. Patchstack xác định các địa chỉ nguồn liên quan đến hoạt động đã quan sát là 169.58.48.193, 169.58.48.195 và 2001:df1:e8c0::106b; quản trị viên cũng có thể cân nhắc chặn các địa chỉ này.
Ảnh minh họa do AI tạo.
Nguồn: Hackers start exploiting critical WordPress flaw for code execution