23/09/2026 · VietTechies · Biên tập
WordPress đã phát hành phiên bản 7.1.1 để vá 11 lỗ hổng, trong đó có Click2Shell, một lỗi có thể dẫn đến thực thi mã từ xa sau khi quản trị viên đang đăng nhập truy cập URL được tạo đặc biệt. Theo báo cáo ngày 22/9/2026 của SecurityWeek, lỗ hổng này chưa có mã định danh CVE.
Một cú nhấp có thể cài giao diện
Click2Shell có thể khiến WordPress tự động cài đặt và xem trước một giao diện không hoạt động do kẻ tấn công lựa chọn từ kho chính thức WordPress.org mà quản trị viên không biết hoặc đồng ý. Kẻ tấn công không cần có tài khoản WordPress, nhưng cuộc tấn công phụ thuộc vào việc quản trị viên đang đăng nhập truy cập URL độc hại.
Công ty bảo mật pwn.ai, đơn vị phát hiện và báo cáo lỗ hổng, xác định nguyên nhân là cách xử lý không nhất quán một giá trị trong URL xem trước giao diện. API giao diện rút gọn giá trị này thành tên định danh giao diện thông thường, trong khi JavaScript chạy trên trình duyệt vẫn giữ dấu câu ban đầu rồi chèn kết quả vào bộ chọn jQuery.
Giao diện không hoạt động vẫn có thể chạy PHP
Việc cài một giao diện không hoạt động thoạt nhìn có vẻ ít nguy hiểm. Tuy nhiên, pwn.ai phát hiện hơn 40 giao diện WordPress của bên thứ ba có mã PHP có thể bị lợi dụng ngay cả khi chưa được kích hoạt. WordPress vẫn tải mã này trong quá trình xem trước bằng Customizer dù trang web đang sử dụng giao diện khác.
Theo pwn.ai, kẻ tấn công có thể lợi dụng các trình cài đặt không được bảo vệ trong những giao diện này, hướng chúng tới một gói plugin được tạo đặc biệt và thực thi mã bằng tài khoản máy chủ WordPress. Do giao diện chính của trang web vẫn hoạt động, quản trị viên có thể không nhận ra hoạt động cài đặt hoặc xem trước bất thường. Công ty bảo mật này đã công bố chi tiết kỹ thuật và mã chứng minh khái niệm.
Bản vá áp dụng cho cả phiên bản cũ
WordPress đã vá Click2Shell cùng 10 lỗ hổng khác trong phiên bản 7.1.1. Các bản cập nhật bảo mật tương ứng cũng được phát hành cho những nhánh WordPress cũ, lùi đến phiên bản 4.7, giúp các hệ thống cũ có thể nâng cấp lên bản đã được vá.
WordPress ghi nhận đóng góp của pwn.ai và trả phần thưởng 300 USD, được SecurityWeek mô tả là mức tiền thưởng săn lỗi tối đa của dự án. Các đơn vị vận hành trang web nên ưu tiên cài bản cập nhật bảo mật phù hợp vì quá trình khai thác có thể bắt đầu chỉ từ một lần truy cập của quản trị viên và không nhất thiết làm thay đổi giao diện đang hoạt động.
Ảnh minh họa do AI tạo.