WP-CLI không bỏ qua rủi ro cập nhật WordPress

Đăng ngày 09/11/2026TMGS

Chạy cập nhật qua dòng lệnh có giúp tránh lỗ hổng?

Với CVE-2026-119977, lựa chọn WP-CLI không loại bỏ điều kiện rủi ro trong lúc cập nhật WordPress. Theo The Hacker News, công cụ này vẫn dùng cùng trình cập nhật và giải nén gói vào cùng thư mục. Một quy trình nâng cấp chạy bằng dòng lệnh vì thế vẫn cần kiểm soát khả năng truy cập thư mục đó từ web.

Đây là chi tiết đáng đưa vào quy trình vận hành: giao diện mà quản trị viên sử dụng không quyết định toàn bộ những gì máy chủ web có thể phục vụ trong lúc nâng cấp.

Kẻ tấn công cần điều kiện gì?

Lỗ hổng ảnh hưởng WordPress từ phiên bản 4.7 đến 7.1.3. Kẻ tấn công không cần tài khoản, nhưng phải xác định được tên thư mục và truy cập trình cài đặt trước khi WordPress xóa bản sao. Nếu đáp ứng những điều kiện đó, chúng có thể chạy mã trên máy chủ.

Khoảng tồn tại tạm thời của bản sao là một phần điều kiện khai thác. Vì vậy, theo nhận định của TMGS, kế hoạch bảo trì cần xét cả trạng thái website trong khi cập nhật, bên cạnh phiên bản sẽ có sau khi hoàn tất. CISA đã đưa lỗ hổng vào danh mục các lỗ hổng đã biết bị khai thác, nên đây là rủi ro cần được xử lý trong vận hành thực tế.

Bản sửa lỗi thay đổi điều gì?

WordPress đã phát hành bản sửa trong phiên bản 7.1.4 và các bản cập nhật tương ứng cho những nhánh cũ đến 4.7. Thay đổi được nguồn mô tả là đặt tên ngẫu nhiên cho thư mục tạm thời.

Tuy nhiên, doanh nghiệp vẫn cần chuẩn bị cho chính lần cài bản sửa. Nguồn dẫn khuyến nghị của nhà nghiên cứu về việc ngăn máy chủ web phân phát nội dung từ thư mục upgrade bên trong wp-content, đồng thời kiểm tra yêu cầu tới thư mục này trả về mã HTTP 403.

Đưa việc kiểm tra vào lịch bảo trì thế nào?

TMGS đề xuất đưa các bước sau vào cùng một yêu cầu thay đổi, với người chịu trách nhiệm và bằng chứng hoàn thành rõ ràng:

Ghi nhận phiên bản hiện tại và xác định bản cập nhật đã sửa lỗi phù hợp với nhánh đang sử dụng.
Trước khi cập nhật, cấu hình máy chủ web chặn truy cập vào thư mục upgrade bên trong wp-content.
Kiểm tra từ phía web để xác nhận yêu cầu tới thư mục đó nhận mã 403. Lưu kết quả cùng hồ sơ thay đổi.
Thực hiện cập nhật, kể cả khi công cụ được chọn là WP-CLI; sau đó xác nhận phiên bản thực tế và kiểm tra hoạt động của website.

Với WordPress 4.6 trở xuống, nguồn cho biết các phiên bản này không còn nhận cập nhật bảo mật và không có bản sửa lỗi. TMGS khuyến nghị lập kế hoạch chuyển sang phiên bản còn được hỗ trợ nếu doanh nghiệp vẫn vận hành những hệ thống này.

Ai xác nhận khi website do đối tác quản trị?

Với doanh nghiệp Việt Nam thuê đơn vị làm website hoặc dùng hosting do nhà cung cấp quản lý, TMGS khuyến nghị giao rõ trách nhiệm kiểm tra quyền truy cập web trước khi bắt đầu cập nhật. Người thao tác WordPress và người có quyền sửa cấu hình máy chủ có thể là hai đầu mối khác nhau.

Biên bản nghiệm thu nên ghi nhận cả kết quả 403 trước khi nâng cấp và phiên bản sau khi hoàn tất. Hai bằng chứng này trả lời hai câu hỏi riêng: thư mục tạm đã được chặn truy cập web hay chưa, và website đã nhận bản sửa hay chưa.