WordPress Core có lỗi RCE nghiêm trọng: gần 63.000 nỗ lực tấn công trong 24 giờ

Theo The Hacker News ngày 30/10/2026, các tác nhân đe dọa đã thử khai thác một lỗ hổng mức cao trong WordPress Core ngay sau khi bản vá được phát hành. Tiêu đề bài báo nêu gần 63.000 nỗ lực tấn công trong vòng 24 giờ. Con số này cho thấy mức độ dò quét lớn, nhưng nguồn chưa nêu số website bị ảnh hưởng, số vụ khai thác thành công hay cách thức thống kê.

Lỗ hổng là lỗi thực thi mã từ xa (RCE), ảnh hưởng WordPress Core từ phiên bản 4.7 đến 7.1.3, với điểm CVSS 8.1. Đáng chú ý, lỗ hổng không có mã CVE. Việc thiếu CVE không đồng nghĩa với ít nguy hiểm, nhưng có thể gây khó khăn cho việc tra cứu, đối chiếu và quản lý bản vá. Nguồn chưa nêu lý do cụ thể vì sao lỗi chưa được cấp mã CVE.

Bản vá được phát hành trong tháng 10, nhưng ngày chính xác không có trong phần tóm tắt. Nguồn chưa nêu chi tiết kỹ thuật, điều kiện khai thác, mã khai thác công khai, tác nhân đứng sau và mức độ ảnh hưởng thực tế. Cũng chưa rõ 63.000 nỗ lực là yêu cầu HTTP độc hại, hoạt động quét tự động hay một dạng tấn công khác.

Điểm đáng lo là khoảng cách giữa thời điểm vá và thời điểm bị khai thác gần như không còn. Với một CMS phổ biến như WordPress, ngay cả lỗi không có CVE cũng có thể bị dò quét hàng loạt. Khuyến nghị chắc chắn: kiểm tra phiên bản WordPress Core, cập nhật bản vá mới nhất, rà soát log và chặn các dấu hiệu khai thác. Quy trình kiểm tra cụ thể, công cụ phát hiện và hướng dẫn vá chi tiết: nguồn chưa nêu.

Nguồn: The Hacker News