CVE-2026-119977 là lỗ hổng trong quy trình cập nhật WordPress Core, có thể tạo cơ hội cho kẻ tấn công thực thi mã từ xa trong một khoảng thời gian ngắn khi website đang nâng cấp. CISA đã bổ sung lỗ hổng này vào danh mục Known Exploited Vulnerabilities (KEV) ngày 3/11/2026. Quản trị viên nên kiểm tra phiên bản WordPress đang chạy và xác nhận bản vá đã được cài đặt thành công.
Tóm tắt nhanh về CVE-2026-119977
- Sản phẩm: WordPress Core.
- Phiên bản bị ảnh hưởng: các nhánh WordPress từ 4.7.0 đến 7.1.3, theo hồ sơ CVE.
- Kiểu lỗi: điều kiện tranh chấp giữa kiểm tra và sử dụng (TOCTOU) trong quá trình nâng cấp.
- Tác động tiềm tàng: thực thi mã từ xa trên máy chủ trong cửa sổ cập nhật.
- Bản vá: WordPress 7.1.4 và các bản cập nhật bảo mật tương ứng cho những nhánh cũ.
Lỗ hổng hoạt động như thế nào?
Khi WordPress cài đặt một gói cập nhật đầy đủ, một số tệp của gói có thể được giải nén tạm vào khu vực nâng cấp bên trong wp-content/upgrade. Ở các phiên bản chưa vá, tệp cài đặt tạm thời có thể bị gọi trực tiếp qua web trong khoảng thời gian bản cập nhật đang diễn ra.
Điểm yếu nằm ở sự chênh lệch thời điểm: hệ thống tạo và sử dụng tệp tạm trước khi hoàn tất việc kiểm soát hoặc dọn dẹp chúng. Nếu một yêu cầu bên ngoài chạm tới đúng tệp trong khoảng thời gian này, kẻ tấn công không cần tài khoản WordPress để tìm cách chạy mã với quyền của tiến trình máy chủ web. Cơ hội khai thác phụ thuộc vào thời điểm và cách môi trường triển khai xử lý bản cập nhật; đây không phải là thao tác truy cập quản trị thông thường.
WordPress xác nhận bản phát hành bảo mật 7.1.4 có sửa điểm yếu trong quy trình nâng cấp, cùng nhiều vấn đề bảo mật khác. Hồ sơ CVE do Wordfence công bố mô tả phạm vi các phiên bản bị ảnh hưởng; CISA xếp mã này vào KEV dựa trên bằng chứng khai thác thực tế. Thông báo WordPress 7.1.4 · Hồ sơ lỗ hổng Wordfence · Danh mục KEV của CISA.
Website WordPress nào cần kiểm tra?
Nếu website đang chạy WordPress 7.1.3 trở xuống hoặc một nhánh cũ chưa nhận bản cập nhật bảo mật tương ứng, hãy kiểm tra ngay trong Bảng tin → Cập nhật hoặc khu vực quản trị do đơn vị hosting cung cấp. Các bản vá được phát hành theo từng nhánh; vì vậy không nên chỉ nhìn vào số phiên bản cao hay thấp hơn 7.1.4 để kết luận. Hãy đối chiếu nhánh hiện tại với kho phiên bản WordPress chính thức và hướng dẫn của nhà cung cấp hosting.
Các bước nên thực hiện
- Sao lưu trước khi cập nhật: lưu cả dữ liệu website và cơ sở dữ liệu, đồng thời đảm bảo có thể khôi phục.
- Cài đúng bản vá: nâng cấp lên phiên bản đã sửa lỗi phù hợp với nhánh đang dùng; ưu tiên nhánh hiện còn được hỗ trợ.
- Xác nhận cập nhật hoàn tất: tải lại trang quản trị, kiểm tra số phiên bản và xem lại thông báo cập nhật thay vì chỉ dựa vào trạng thái tự động.
- Giới hạn truy cập web tới thư mục nâng cấp: nhờ quản trị máy chủ cấu hình chặn truy cập HTTP trực tiếp vào
/wp-content/upgrade/. Hãy kiểm tra cấu hình trên máy chủ web để không ảnh hưởng chức năng cập nhật của WordPress. - Rà soát sau sự cố: nếu website từng cập nhật khi còn ở phiên bản dễ tổn thương, xem nhật ký truy cập quanh thời điểm đó để tìm yêu cầu bất thường tới tệp PHP trong thư mục nâng cấp; đồng thời kiểm tra tài khoản quản trị và tệp mới không rõ nguồn gốc.
Một yêu cầu đáng ngờ trong log cho thấy có thể đã có hoạt động dò quét hoặc khai thác, nhưng chưa đủ để kết luận website đã bị xâm nhập. Nếu thấy tệp lạ, tài khoản quản trị không nhận ra hoặc dấu hiệu bị thay đổi dữ liệu, hãy cô lập website theo quy trình nội bộ, nhờ đơn vị vận hành kiểm tra và khôi phục từ bản sao sạch. Sau khi xác minh, đổi thông tin đăng nhập có liên quan và rà soát các khóa truy cập.
Kết luận
CVE-2026-119977 nhắc chúng ta rằng bản thân quá trình cập nhật cũng cần được bảo vệ. Quản trị viên nên áp dụng bản vá chính thức, xác nhận phiên bản thực tế và giám sát các lần nâng cấp. Với website doanh nghiệp, duy trì lịch sao lưu và quy trình cập nhật có kiểm soát sẽ giúp giảm thời gian gián đoạn và rủi ro khi có lỗ hổng mới.
Bài viết cung cấp thông tin phòng thủ tổng quát, dựa trên thông báo WordPress và hồ sơ CVE tại thời điểm biên soạn. Hãy kiểm tra hướng dẫn mới nhất từ WordPress và nhà cung cấp hosting trước khi thay đổi cấu hình máy chủ.
