Cảnh báo bảo mật WordPress CVE-2026-87902: Cập nhật ngay lên 7.1.2

4.9/5 - (118 bình chọn)

Ngày 22/09/2026, đội ngũ bảo mật WordPress chính thức phát hành bản vá WordPress 7.1.2 để khắc phục lỗ hổng nghiêm trọng CVE-2026-87902 (GHSA-7hp8-65ch-5whp). Đây là lỗ hổng path traversal / local file inclusion trong cơ chế chọn page template của WordPress Core, cho phép kẻ tấn công không cần đăng nhập buộc website nạp file PHP nằm ngoài thư mục theme đang dùng. Trong một số điều kiện máy chủ và theme, lỗi có thể leo thang thành Remote Code Execution (RCE) — chiếm toàn quyền website.

Theo đánh giá của Patchstack và các nguồn bảo mật độc lập, lỗ hổng đạt mức CVSS 4.0 = 9.2 (Critical). Đáng chú ý: bản 7.1.1 vừa vá cách đây vài ngày vẫn còn dính lỗ hổng này — nghĩa là site đã cập nhật tuần trước vẫn cần cập nhật tiếp lên 7.1.2 (hoặc bản vá tương ứng trên nhánh đang dùng).

1. CVE-2026-87902 là gì?

Theo thông báo chính thức trên WordPress.org News, nhà nghiên cứu Robert Ressl đã báo cáo có trách nhiệm rằng: trong một số điều kiện, kẻ tấn công chưa xác thực có thể khiến quá trình resolve page template include một file PHP local có thể đọc được nằm ngoài thư mục theme đang active. Nếu môi trường máy chủ và theme thỏa thêm điều kiện, chuỗi tấn công có thể dẫn tới RCE.

Tóm tắt nhanh:

Mã CVE: CVE-2026-87902
Advisory: GHSA-7hp8-65ch-5whp
Mức độ: Critical — CVSS 9.2
Yêu cầu đăng nhập: Không (unauthenticated)
Vị trí lỗi: Page template resolution trong WordPress Core (get_page_template() / locate_template())
Phân loại: Path traversal → Local File Inclusion (CWE-98), có thể dẫn tới RCE có điều kiện

2. Phiên bản WordPress nào bị ảnh hưởng?

Theo tài liệu phiên bản WordPress 7.1.2 và WPScan, toàn bộ WordPress từ 4.7.0 đến 7.1.1 đều bị ảnh hưởng. WordPress đã phát hành bản vá backport cho mọi nhánh còn nhận cập nhật bảo mật (xuống tới 4.7). WordPress 4.6 trở về trước không còn nhận vá.

Bảng phiên bản nên cập nhật lên (theo nhánh đang dùng):

7.1.x → cập nhật lên 7.1.2
7.0.x → cập nhật lên 7.0.6
6.9.x → cập nhật lên 6.9.9
6.8.x → cập nhật lên 6.8.10
6.7.x → cập nhật lên 6.7.9
6.6.x → cập nhật lên 6.6.9
… các nhánh cũ hơn cũng có bản vá tương ứng, xuống tới 4.7.37

Không có “cách vá tạm” chính thức thay thế việc cập nhật core. Cách xử lý đúng và duy nhất là nâng lên bản đã vá trên nhánh bạn đang chạy.

3. Lỗ hổng nguy hiểm như thế nào?

Theo phân tích của Patchstack và WPScan:

Kẻ tấn công không cần tài khoản trên website.
Lỗi nằm ở cách WordPress dựng tên file template ứng viên từ tham số pagename — thiếu bước kiểm tra an toàn tương đương với các nhánh xử lý khác.
Hệ quả trực tiếp là có thể include file PHP local ngoài theme. Việc leo thang thành RCE phụ thuộc thêm vào cấu hình máy chủ và cấu trúc theme.

Hai điều kiện làm tăng mức độ phơi nhiễm thực tế (theo Patchstack / các bài phân tích kỹ thuật):

Theme đang active có thư mục cấp cao bắt đầu bằng page- (ví dụ thư mục kiểu page-templates — nhiều theme mặc định cũ và theme phổ biến vẫn còn).
Môi trường PHP có cấu hình khiến một số file PHP hệ thống (ví dụ liên quan PEAR) trở nên hữu ích khi bị include — điển hình khi register_argc_argv được bật (phổ biến trên một số image Docker PHP và cấu hình cPanel với PHP dưới 8.5).

Nói cách khác: không phải mọi site đều “dễ RCE như nhau”, nhưng vì tấn công không cần đăng nhập và phạm vi ảnh hưởng cực rộng, WordPress và cộng đồng bảo mật vẫn xếp đây là cập nhật cần làm ngay hôm nay, không chờ tới khung bảo trì tuần sau.

4. Hiện đã có tấn công thực tế chưa?

Tính đến thời điểm các nguồn chính thống công bố (WordPress.org, Patchstack, WPScan, Tenable), chưa ghi nhận khai thác diện rộng được xác nhận và chưa thấy PoC công khai được WordPress khuyến khích lan truyền. Tuy nhiên, đây không phải lý do để chậm cập nhật: lỗ hổng dễ bị lạm dụng về mặt điều kiện (không cần login), và lịch sử các CVE Core tương tự cho thấy cửa sổ “chưa bị tấn công” thường rất ngắn sau khi chi tiết kỹ thuật lan rộng.

5. Cần làm gì ngay trên website của bạn?

Bước 1 — Cập nhật WordPress Core (ưu tiên số 1)

Vào Dashboard → Cập nhật (Updates) và cập nhật thủ công lên bản vá của nhánh đang dùng (ví dụ 7.1.2).
Dù đã bật tự động cập nhật nền, hãy kiểm tra lại phiên bản đang chạy để chắc chắn bản vá đã áp dụng thành công.
Có thể tải bản vá trực tiếp từ WordPress.org nếu Dashboard chưa hiện cập nhật.

Bước 2 — Kiểm tra nhanh mức độ phơi nhiễm

Xem theme active có thư mục tên bắt đầu bằng page- hay không.
Kiểm tra PHP có bật register_argc_argv hay không (qua phpinfo hoặc hosting panel).
Hai bước trên không thay thế bản vá, chỉ giúp bạn hiểu site đang gần “trường hợp xấu nhất” đến mức nào.

Bước 3 — Sau khi cập nhật

Xóa cache (plugin cache, CDN, hosting cache) rồi kiểm tra lại trang chủ / trang quan trọng.
Rà soát user quản trị lạ, plugin lạ, file PHP mới xuất hiện trong uploads nếu nghi ngờ site từng bị dò quét.
Giữ thói quen cập nhật core / plugin / theme định kỳ; ưu tiên các bản security release.

6. Checklist nhanh cho quản trị viên

✅ Đã xác định phiên bản WordPress hiện tại
✅ Đã cập nhật lên bản vá tương ứng (7.1.2 / 7.0.6 / 6.9.9…)
✅ Đã xác nhận phiên bản sau cập nhật trong Dashboard
✅ Đã xóa cache và kiểm tra site hoạt động bình thường
✅ (Khuyến nghị) Rà soát theme có thư mục page-* và cấu hình PHP liên quan

7. Kết luận

CVE-2026-87902 là một trong những lỗ hổng Core đáng chú ý nhất gần đây: không cần đăng nhập, ảnh hưởng gần một thập niên phiên bản WordPress, và có đường leo thang tới RCE trên một số môi trường phổ biến. Tin tốt là WordPress đã phát hành bản vá đồng loạt trên mọi nhánh còn hỗ trợ bảo mật — bạn không bắt buộc nhảy major version để được vá.

Nếu bạn đang quản lý nhiều website WordPress cho doanh nghiệp, hãy ưu tiên cập nhật toàn bộ ngay hôm nay, bắt đầu từ các site public, site có theme cũ, và máy chủ còn bật cấu hình PHP legacy.

Hatena khuyến nghị: coi đây là cập nhật bảo mật bắt buộc, không phải “cập nhật tính năng có thể để sau”.

Nguồn tham khảo chính thống

Nếu doanh nghiệp của bạn cần hỗ trợ kiểm tra phiên bản WordPress, cập nhật bảo mật an toàn, rà soát website sau sự cố, hoặc muốn xây dựng / tối ưu hệ thống website chuẩn kỹ thuật từ đầu, HATENA sẵn sàng đồng hành tư vấn và triển khai.

Liên hệ HATENA để được tư vấn bảo mật và tối ưu website

CÔNG TY TNHH CÔNG NGHỆ PHẦN MỀM HATENA

📞 Hotline: 0934 217 611

📧 Email: hatenasolution@gmail.com

📍 Địa chỉ: Tầng 15, Khối A Tòa nhà Sông Đà, đường Phạm Hùng, Phường Từ Liêm, Thành phố Hà Nội, Việt Nam

HATENA – Đồng hành cùng doanh nghiệp trên hành trình xây dựng và phát triển hệ thống công nghệ số.