Lỗ hổng WordPress CVE-2026-119977: bị khai thác, cần cập nhật ngay

Ngày đăng04/11/2026
10 phút đọc

Mục lục9

Ngày 3/11/2026, cơ quan an ninh mạng Hoa Kỳ (CISA) đưa lỗ hổng CVE-2026-119977 của phần lõi WordPress vào danh sách "lỗ hổng đã bị khai thác trong thực tế". Bản vá WordPress 7.1.4 đã được phát hành ngày 28/10.

Bài viết này dành cho các công ty có website làm bằng WordPress: trước hết cần kiểm tra gì, cập nhật thế nào và tìm dấu vết bị tấn công ra sao, theo từng bước. Website đang giao hẳn cho đơn vị làm website cũng thuộc diện này.

Tóm tắt nhanh

WordPress 4.7–7.1.3 bị ảnh hưởng. Hãy cập nhật lên bản vá của nhánh đang dùng (7.1.4, 7.0.8, 6.9.11, 6.8.12…).
Tấn công chỉ thực hiện được trong khoảng thời gian ngắn khi phần lõi WordPress đang cập nhật. Đây là kiểu tấn công khó, nhưng các hoạt động nhắm tới lỗ hổng này đã được ghi nhận.
Đừng tin hoàn toàn vào cập nhật tự động. Hãy xem trên màn hình quản trị xem website đã thật sự lên bản vá chưa.
Từ 4.6 trở về trước không có bản vá. Cần chuyển sang phiên bản còn được hỗ trợ.

4.7–7.1.3

Phiên bản bị ảnh hưởng

3/11

CISA đưa vào danh sách lỗ hổng đã bị khai thác

Hơn 18.500

Lượt truy cập nhắm tới lỗ hổng (Wordfence báo cáo, trong 21 giờ sau khi cung cấp quy tắc phòng thủ)

Giải thích thuật ngữ

WordPress = phần mềm để tạo và quản lý website, blog. Không cần kiến thức chuyên môn vẫn cập nhật nội dung dễ dàng, nên được dùng rộng rãi cho website doanh nghiệp.

Lỗ hổng = điểm yếu của hệ thống mà kẻ xấu có thể lợi dụng để tấn công.

CISA = cơ quan an ninh mạng của Hoa Kỳ. Cơ quan này công bố danh sách (danh mục KEV) các lỗ hổng đã thực sự bị dùng để tấn công.

Lỗ hổng này là gì, nguy hiểm ra sao?

Khi cập nhật phần lõi, WordPress giải nén các file mới vào một thư mục làm việc tạm tên là wp-content/upgrade/. Vấn đề là tên của thư mục này có thể đoán trước, và trên nhiều máy chủ, thư mục này mở được từ Internet.

Kẻ tấn công truy cập vào các file tạm trong khoảng thời gian ngắn từ lúc giải nén đến lúc xóa. Nếu thành công, kẻ tấn công không cần đăng nhập vẫn có thể chạy chương trình tùy ý trên máy chủ. Khi đó, các thiệt hại sau có thể xảy ra.

Website bị sửa đổi trái phép

Có thể bị cài trang giả, hoặc cơ chế dẫn người truy cập sang website đáng ngờ.

Rò rỉ thông tin liên hệ

Nếu họ tên, địa chỉ email gửi qua biểu mẫu được lưu trong website, các thông tin này có thể bị đánh cắp.

Máy chủ bị lợi dụng

Có thể bị dùng để gửi thư rác hoặc làm bàn đạp tấn công website khác.

Đánh giá mức độ nghiêm trọng chưa thống nhất

Bản thân WordPress đánh giá vấn đề này là "thấp (Low)". Trong khi đó, Wordfence, bên cấp mã CVE, đánh giá CVSS 8.1 (cao). Khoảng thời gian có thể tấn công chỉ kéo dài vài giây trong môi trường thử nghiệm, và Patchstack cho rằng tấn công thực tế là khó.

Tuy nhiên, trong 21 giờ sau khi cung cấp quy tắc phòng thủ, Wordfence đã ghi nhận hơn 18.500 lượt truy cập nhắm tới các file tạm. Những gì được báo cáo là các lần thử tấn công; trong các báo cáo tính đến 3/11, chưa có trường hợp chiếm quyền thành công nào được công bố. Dù vậy, một khi CISA đã đưa vào danh sách thì đây không phải vấn đề có thể để sau.

Phiên bản bị ảnh hưởng và bản cần lên

WordPress cung cấp bản sửa cho cả các nhánh cũ, xuống tới 4.7. Trước hết, hãy xác định website của công ty đang ở nhánh nào.

Nhánh	Phiên bản bị ảnh hưởng	Bản vá
7.1	7.1.0–7.1.3	7.1.4
7.0	7.0.0–7.0.7	7.0.8
6.9	6.9.0–6.9.10	6.9.11
6.8	6.8.0–6.8.11	6.8.12
6.7	6.7.0–6.7.10	6.7.11
6.6	6.6.0–6.6.10	6.6.11
6.5	6.5.0–6.5.13	6.5.14
6.0–6.4	Bị ảnh hưởng	6.4.14 / 6.3.14 / 6.2.15 / 6.1.16 / 6.0.18
5.0–5.9	Bị ảnh hưởng	5.9.20 / 5.8.19 / 5.7.21 / 5.6.23 / 5.5.24 / 5.4.25 / 5.3.27 / 5.2.30 / 5.1.28 / 5.0.31
4.7–4.9	Bị ảnh hưởng	4.9.35 / 4.8.34 / 4.7.39
4.6 trở về trước	Không có bản vá	Chuyển sang phiên bản còn được hỗ trợ

※ WordPress chỉ tích cực hỗ trợ bản mới nhất. Nên coi bản vá của các nhánh cũ là giải pháp tạm thời; chúng tôi khuyến nghị lên 7.1.4 nếu có thể.

※ Website đã lâu không cập nhật có thể còn tồn tại lỗ hổng khác được vá vào tháng 7/2026 (CVE-2026-60137 / CVE-2026-63030, thường gọi là wp2shell, mức độ nghiêm trọng 9.8).

Diễn biến

28/10/2026
WordPress phát hành 7.1.4 và kêu gọi cập nhật ngay. Bản sửa được cung cấp cho cả các nhánh cũ, xuống tới 4.7
29/10/2026
WordPress công bố nội dung vấn đề (đánh giá "thấp")
31/10/2026
Wordfence công bố với mã CVE-2026-119977 (CVSS 8.1)
3/11/2026
CISA đưa vào danh sách lỗ hổng đã bị khai thác

6 bước kiểm tra và xử lý

Xác định ai đang quản lý website
Người phụ trách trong công ty, đơn vị làm website hay đơn vị bảo trì? Nếu chưa rõ, hãy tìm hợp đồng máy chủ hoặc email từ thời làm website.
Xem phiên bản
Đăng nhập màn hình quản trị, mở "Dashboard" → "Updates" ở menu bên trái; phiên bản hiện tại sẽ hiện ra. Nếu dùng được dòng lệnh, có thể kiểm tra bằng wp core version.
Sao lưu
Trước khi cập nhật, lưu lại cả file của website và cơ sở dữ liệu.
Nếu được, chặn truy cập từ bên ngoài vào thư mục tạm
Bản thân việc cập nhật lên 7.1.4 cũng do chương trình của bản cũ thực hiện. Từ chối truy cập vào /wp-content/upgrade/ trong cấu hình máy chủ rồi mới cập nhật sẽ an toàn hơn. Nếu chưa tự tin về cấu hình, hãy giao bước này cho người am hiểu máy chủ.
Cập nhật lên bản vá và xem lại phiên bản
Thực hiện qua "Dashboard" → "Updates" → "Update Now". Website đã bật cập nhật tự động cũng phải xem trên màn hình quản trị để chắc chắn đã lên bản vá.
Tìm dấu vết bị tấn công
Xem các mục kiểm tra bên dưới. Nếu có điểm khả nghi, hãy đổi mật khẩu quản trị và trao đổi với đơn vị chuyên môn.

Cách tìm dấu vết bị tấn công

WordPress và Wordfence chưa công bố dấu hiệu mang tính quyết định nào, chẳng hạn địa chỉ IP nguồn tấn công. Hãy kiểm tra các mục sau, tập trung vào thời điểm phần lõi đã chạy cập nhật.

Trong log truy cập có truy cập nào tới file PHP bên trong wp-content/upgrade/ (đặc biệt là setup-config.php) không?
Bên trong wp-content/upgrade/ có file PHP lạ hoặc wp-config.php không?
Có tài khoản quản trị lạ không?
Có plugin không nhớ đã cài, hoặc file PHP lạ không?

Log có một lượt truy cập không có nghĩa là đã bị xâm nhập. Hãy xem đó là một manh mối và đánh giá cùng các mục khác.

Có plugin bảo mật chưa chắc đã yên tâm

Lưu lượng tấn công này đi thẳng tới file PHP tạm, nên plugin bảo mật chạy bên trong WordPress có thể không thấy được. Quy tắc phòng thủ của Wordfence cũng phải tới ngày 27/11/2026 mới đến bản miễn phí. Plugin không thay thế được việc cập nhật.

Nếu website đang do đơn vị làm website quản lý

Dù giao website cho đơn vị làm website, chủ sở hữu website vẫn là công ty bạn. Nên hỏi họ những điều sau:

WordPress của chúng tôi đang ở phiên bản nào? Đã lên bản vá CVE-2026-119977 chưa?
Ai cập nhật phần lõi WordPress, và bao lâu một lần?
Plugin và theme có được cập nhật không? Có cái nào đã ngừng phát triển không?
Bản sao lưu nằm ở đâu, và lần gần nhất thử khôi phục là khi nào?
Chúng tôi có thể nhận thông tin đăng nhập màn hình quản trị và máy chủ không?

WordPress chạy trên PHP. Nếu PHP trên máy chủ đã cũ, hãy xem thêm bài "Xử lý lỗ hổng PHP"; nếu không liên lạc được với đơn vị làm website, hãy xem thêm bài "Tiếp nhận bảo trì hệ thống cũ không có tài liệu". Việc rà soát toàn bộ website cũ được giải thích trong bài "Bảo mật hệ thống cũ: bắt đầu từ đâu?".

Để nguyên hay xử lý ngay?

Nếu để nguyên

Lỗ hổng đã bị khai thác vẫn còn đó
Mỗi lần cập nhật phần lõi lại xuất hiện khoảng thời gian có thể bị nhắm tới
Website bị sửa đổi mà không hay biết, thiệt hại có thể lan sang khách hàng

Nếu cập nhật và kiểm tra dấu vết

Vá được lỗ hổng lần này
Xử lý luôn các vấn đề khác được sửa cùng lúc
Có thể trả lời đối tác và khách hàng rằng "đã xử lý xong"

Digi Dinos có thể giúp gì?

Digi Dinos là công ty phần mềm có văn phòng tại Việt Nam và Nhật Bản. Trong 8 năm, chúng tôi đã thực hiện hơn 150 dự án, với đội ngũ làm việc được bằng tiếng Nhật.

Cập nhật và rà soát WordPress: kiểm tra phiên bản, sao lưu, cập nhật, kiểm tra dấu vết.
Tiếp nhận bảo trì website có sẵn: nhận rà soát cả WordPress, theme và plugin đã ngừng cập nhật.
Xử lý lỗ hổng mới công bố: khi có bản vá như lần này, chúng tôi đánh giá ảnh hưởng và áp dụng bản sửa.
Không có tài liệu cũng không sao: kể cả khi nhà cung cấp cũ đã không còn và không ai hiểu hệ thống, chúng tôi tự đọc mã nguồn, dựng lại tài liệu và đề xuất kế hoạch hoàn chỉnh.
Bảo hành vĩnh viễn: nếu phát hiện lỗi ở phần chúng tôi đã sửa, chúng tôi chịu trách nhiệm sửa, không giới hạn thời gian chừng nào hợp đồng bảo trì còn tiếp tục.

Chưa chắc website của bạn đã an toàn? Tư vấn miễn phí.

Từ kiểm tra phiên bản, cập nhật đến rà soát dấu vết tấn công. Kể cả khi không liên lạc được với đơn vị làm website.

Dịch vụ tiếp nhận hệ thống Liên hệ với chúng tôi

Câu hỏi thường gặp

Tôi đã bật cập nhật tự động. Không cần làm gì nữa phải không?

Phần lớn website sẽ tự động nhận được bản sửa. Tuy nhiên, cũng có khi cập nhật thất bại hoặc bị tắt trong cấu hình. Hãy xem phiên bản trên màn hình quản trị. Website cũng có thể đã bị tấn công đúng lúc cập nhật tự động chạy, nên chúng tôi khuyến nghị kiểm tra cả dấu vết.

Tôi dùng máy chủ thuê. Nhà cung cấp máy chủ có sửa giúp không?

Tùy nhà cung cấp. Thông thường, hợp đồng quy định nhà cung cấp lo bảo trì máy chủ, còn cập nhật WordPress là việc của người dùng. Hãy xem nội dung hợp đồng và hướng dẫn của nhà cung cấp.

Cập nhật có làm website hiển thị lỗi không?

Cập nhật trong cùng một nhánh (ví dụ từ 7.1.3 lên 7.1.4) thường ít ảnh hưởng. Nếu dùng theme hoặc plugin cũ thì vẫn có thể bị lỗi hiển thị, nên hãy sao lưu trước và sau khi cập nhật kiểm tra các trang chính cùng biểu mẫu liên hệ.

Tôi đang dùng WordPress cũ, từ 4.6 trở về trước.

Không có bản vá cho các phiên bản này. Lên thẳng bản mới nhất có thể khiến website ngừng hoạt động, nên hãy kiểm tra phiên bản PHP, theme và plugin rồi lập kế hoạch. Nếu quá khó, có trường hợp làm lại website sẽ rẻ hơn.

Nguồn tham khảo