wp2shell: Mối đe dọa bảo mật WordPress cực kỳ nghiêm trọng bạn cần biết

Các mã định danh

Cuộc tấn công wp2shell là một chuỗi gồm hai lỗ hổng :

• CVE-2026-63030 — Một lỗ hổng nhầm lẫn tuyến đường (route confusion) tại endpoint batch của REST API. Được đánh giá ở mức Nghiêm trọng, với điểm CVSS là 9.8 . (Báo cáo ban đầu từ một nguồn đưa ra điểm 7.5, nhưng nhiều nhà cung cấp bảo mật đã điều chỉnh lên 9.8 .)
• CVE-2026-60137 — Một lỗ hổng SQL Injection không cần xác thực trong tham số author__not_in của WP_Query. Được đánh giá ở mức Cao .

Các phiên bản bị ảnh hưởng

• WordPress 6.9.x: Tất cả các phiên bản trước 6.9.5 (6.9.0 đến 6.9.4)
• WordPress 7.0.x: Tất cả các phiên bản trước 7.0.2 (7.0.0 và 7.0.1)
• Nhánh cũ 6.8.x đã nhận được bản vá ngược dòng lên 6.8.6

Chi tiết kỹ thuật

Cuộc tấn công wp2shell kết hợp hai lỗi :

1. CVE-2026-60137 là một lỗ hổng SQL Injection không cần xác thực. Bằng cách gửi các yêu cầu HTTP được thiết kế đặc biệt đến tham số author__not_in, kẻ tấn công có thể chèn mã SQL độc hại vào cơ sở dữ liệu WordPress mà không cần bất kỳ thông tin đăng nhập nào.

2. CVE-2026-63030 là một lỗ hổng nhầm lẫn tuyến đường trong endpoint batch của REST API (/wp-json/batch/v1). Endpoint này xử lý nhiều yêu cầu con trong một lần gọi duy nhất. Một lỗi phân tích cú pháp khiến hai mảng nội bộ bị lệch nhịp, cho phép kẻ tấn công vượt qua các hạn chế về tuyến đường và xâu chuỗi các lệnh gọi API nội bộ mà thông thường sẽ bị cấm .

Khi kết hợp, kẻ tấn công sử dụng endpoint batch để thực hiện các yêu cầu lồng nhau nhằm lạm dụng lỗ hổng SQL Injection. Điều này leo thang thành thực thi mã từ xa hoàn toàn bằng cách:

• Ghi dữ liệu tùy ý (ví dụ: một PHP webshell) vào hệ thống tệp thông qua lệnh INTO OUTFILE của MySQL, hoặc
• Thao túng các tùy chọn của WordPress để thực thi PHP .

Cuộc tấn công không yêu cầu xác thực, không cần plugin và hoạt động trên bản cài đặt WordPress mặc định . Tính đến ngày 18 tháng 7 năm 2026, một công cụ kiểm tra proof-of-concept công khai đã được phát hành tại wp2shell.com, và một PoC khai thác có hiệu lực đang được lan truyền .

Một điểm quan trọng: bộ nhớ đệm đối tượng liên tục (persistent object cache) như Redis hoặc Memcached có thể giảm thiểu một phần hoặc thay đổi đường dẫn khai thác, nhưng không loại bỏ được hoàn toàn lỗ hổng cơ bản .

Các bước khắc phục

1. Cập nhật ngay lập tức — Nâng cấp lên WordPress 6.9.5, 7.0.2 hoặc 6.8.6. Hầu hết các trang web đã bật tự động cập nhật sẽ nhận được bản cập nhật cưỡng chế .
2. Xác minh phiên bản của bạn — Vào Bảng điều khiển → Cập nhật hoặc kiểm tra tệp wp-includes/version.php.
3. Nếu bạn chưa thể cập nhật ngay, hãy triển khai một bản vá ảo hoặc quy tắc WAF. Cloudflare đã phát hành các quy tắc WAF chặn đặc biệt vector tấn công wp2shell .
4. Kiểm tra các dấu hiệu xâm nhập — Tìm các tệp bất thường trong thư mục wp-content/uploads/, người dùng quản trị lạ hoặc các mục nhập cơ sở dữ liệu bất thường. Mặc dù chưa có vụ khai thác hàng loạt nào được xác nhận, nhưng PoC công khai đồng nghĩa với việc quét quy mô có thể đã bắt đầu.
5. Xem xét lại quyền của người dùng cơ sở dữ liệu — Đảm bảo người dùng cơ sở dữ liệu WordPress không có đặc quyền FILE (cho phép lệnh INTO OUTFILE). Điều này sẽ hạn chế con đường leo thang lên RCE.

Tại sao bản chất mã nguồn mở của WordPress lại là một rủi ro cấp tính

Ngay cả khi chưa có vụ khai thác nào được xác nhận trên thực tế, mô hình mã nguồn mở đã tạo ra một rủi ro đặc biệt, cấp tính đối với wp2shell:

• Mã nguồn hoàn toàn minh bạch cho kẻ tấn công — Vì WordPress là mã nguồn mở, bất kỳ ai cũng có thể tải xuống phiên bản đã vá, so sánh mã với phiên bản dễ bị tấn công và dịch ngược đường dẫn khai thác chính xác trong vòng vài giờ sau khi bản vá được phát hành. Các nhà cung cấp bảo mật đã xác nhận rằng việc so sánh mã nguồn ngay lập tức tiết lộ mã dễ bị tấn công .
• Rút ngắn thời gian cho người bảo vệ — Không giống như phần mềm độc quyền, nơi việc phát triển khai thác đòi hỏi nghiên cứu lỗ hổng độc lập, một bản vá mã nguồn mở thực chất đã công bố chi tiết lỗ hổng. Những người bảo vệ phải vá trên toàn cầu trong vòng vài giờ, không phải vài ngày.
• Bề mặt tấn công rộng lớn, đa dạng — WordPress cung cấp năng lượng cho khoảng 43% tổng số trang web. Hàng triệu cài đặt được vận hành bởi những người có mức độ trưởng thành về bảo mật khác nhau. Nhiều trang web bị bỏ quên, chạy trên các phiên bản PHP cũ hoặc thiếu cập nhật tự động, trở thành mục tiêu dễ dàng khi mã khai thác được công bố .
• Rào cản thấp cho việc vũ khí hóa — Công cụ kiểm tra PoC và mã khai thác đã được công bố trong vòng 24 giờ sau khi vá . Bất kỳ kẻ tấn công nào có kỹ năng trung bình cũng có thể điều chỉnh mã công khai thành một vũ khí quét quy mô lớn.
• Không có rào cản xác thực — Toàn bộ chuỗi không yêu cầu xác thực và hoạt động trên WordPress tiêu chuẩn. Kẻ tấn công không cần thông tin đăng nhập hợp lệ, plugin dễ bị tấn công hoặc bất kỳ cấu hình đặc biệt nào. Điều này làm giảm đáng kể nỗ lực cần thiết để vũ khí hóa lỗ hổng trên quy mô lớn .

Nói tóm lại, mô hình mã nguồn mở có nghĩa là bản thân bản vá đã trở thành một tài liệu tiết lộ chi tiết, và cơ sở cài đặt rộng lớn với chất lượng không đồng đều đảm bảo một lượng lớn mục tiêu dễ bị tấn công trong thời gian dài — tạo ra một giai đoạn rủi ro cao ngay cả trước khi có bất kỳ "vụ khai thác chính thức" nào được quan sát thấy.