Một hạn chót cần đọc đúng phạm vi
Ngày 6/11/2026 là hạn áp dụng bản sửa lỗi dành cho các cơ quan thuộc Nhánh Hành pháp Dân sự Liên bang Mỹ sau khi CISA đưa lỗ hổng WordPress Core vào danh mục Known Exploited Vulnerabilities, gọi tắt là KEV. Với doanh nghiệp Việt Nam, mốc này không tự trở thành một nghĩa vụ tương đương. Nhưng bằng chứng khai thác mà CISA viện dẫn là căn cứ đáng chú ý khi quyết định website nào cần được xử lý trước.
Theo The Hacker News, lỗ hổng mang mã CVE-2026-119977, có điểm CVSS 8.1 và có thể dẫn đến thực thi mã tùy ý trên máy chủ bị ảnh hưởng. Việc xuất hiện trong KEV bổ sung một yếu tố quan trọng cho quyết định vận hành: khả năng khai thác đã có bằng chứng trong thực tế.
Theo nhận định của TMGS, đây là lúc chủ sở hữu website cần có câu trả lời kiểm chứng được về tình trạng vá. Một lời hẹn bảo trì hoặc thông báo “đã chuyển yêu cầu cho đối tác” chưa đủ để xác định công việc đã hoàn tất.
Thao tác nâng cấp cũng nằm trong điều kiện rủi ro
Điểm đặc biệt của lỗ hổng là thời điểm có thể xảy ra khai thác: khoảng thời gian nâng cấp toàn bộ gói WordPress Core. Nguồn mô tả lỗi điều kiện tranh chấp TOCTOU, liên quan đến sự khác biệt giữa thời điểm kiểm tra và thời điểm sử dụng. Các vị trí staging, tức vùng lưu tạm phục vụ nâng cấp, có địa chỉ dễ đoán và có thể truy cập qua web.
Theo mô tả được dẫn lại, kẻ tấn công chưa xác thực có thể thực thi mã trên máy chủ trong khoảng thời gian đó. Wordfence cũng cho biết việc khai thác không yêu cầu tài khoản trên website. Vì vậy, chỉ kiểm tra danh sách tài khoản quản trị sẽ không trả lời được hệ thống đã được bảo vệ trước lỗ hổng này hay chưa.
Nguồn cho biết các bản vá đã được phát hành. TMGS khuyến nghị ưu tiên áp dụng bản sửa lỗi và chuẩn bị quy trình cập nhật có kiểm soát. Đặc điểm rủi ro trong lúc nâng cấp cần được đưa vào kế hoạch bảo trì; trì hoãn vô thời hạn sẽ để tình trạng chưa xử lý tiếp tục tồn tại.
Biến yêu cầu vá thành việc có thể nghiệm thu
Với doanh nghiệp Việt Nam thuê đơn vị bên ngoài quản trị website, điểm cần làm rõ là ai có quyền thực hiện nâng cấp và ai xác nhận kết quả. Website có thể do bộ phận marketing đặt hàng, trong khi quyền quản trị máy chủ nằm ở nhà cung cấp. TMGS khuyến nghị CISO hoặc người phụ trách CNTT phối hợp trực tiếp với cả hai bên để tránh yêu cầu vá bị dừng ở một đầu mối không có quyền thao tác.
Các bước dưới đây là khuyến nghị phòng thủ của TMGS:
- Xác định phạm vi: rà soát các website WordPress thuộc trách nhiệm doanh nghiệp, gồm cả những website giao đối tác vận hành; đối chiếu tình trạng cập nhật với thông tin bản vá chính thức.
- Chỉ định người thực hiện: thống nhất đầu mối kỹ thuật, thời điểm bảo trì và phương án sao lưu, khôi phục trước khi cập nhật.
- Yêu cầu bằng chứng hoàn tất: ghi nhận phiên bản sau cập nhật, thời điểm thực hiện và kết quả kiểm tra hoạt động website.
- Rà soát khi có dấu hiệu bất thường: kiểm tra nhật ký và thay đổi ngoài dự kiến quanh các lần nâng cấp; chuyển sang quy trình ứng phó sự cố nếu phát hiện dấu hiệu đáng ngờ.
Theo TMGS, giá trị thực tế của thông tin KEV là giúp người chịu trách nhiệm đưa ra quyết định ưu tiên có căn cứ. Với website thuê ngoài, kết quả cần nhận về là tình trạng vá đã được xác minh cùng một đầu mối chịu trách nhiệm rõ ràng.
Nguồn tham khảo
The Hacker News: CISA xác nhận hoạt động khai thác lỗ hổng WordPress Core