Lỗ hổng WordPress CVE-2026-87902 bị khai thác chỉ vài giờ sau khi công bố
Nội dung bài viết

Lỗ hổng nghiêm trọng CVE-2026-87902 (CVSS 9.2) trong lõi WordPress - vừa được vá ở bản 7.1.2 ngày 22/9 - đã bị khai thác chỉ vài giờ sau khi công bố. Lỗ hổng cho phép kẻ tấn công không cần đăng nhập buộc hàm get_page_template() nạp một file .php cục bộ nằm ngoài thư mục theme, và có thể dẫn tới thực thi mã từ xa (RCE). Chi tiết kỹ thuật xem tại bài WordPress vá lỗ hổng nghiêm trọng CVE-2026-87902.

Điều kiện để khai thác thành công

  1. Theme đang kích hoạt (cha hoặc con) có một thư mục cấp cao nhất tên bắt đầu bằng page- (ví dụ page-templates).
  2. Trên máy chủ có sẵn một file .php mà tài khoản web server đọc được và có thể bị lợi dụng - điển hình là pearcmd.php.

Diễn biến khai thác

  • Patchstack ghi nhận nỗ lực khai thác đầu tiên lúc 11:49 UTC ngày 22/9/2026 - đúng ngày bản vá được phát hành.
  • Hoạt động nhanh chóng chuyển từ thăm dò (nạp các file lõi vô hại) sang khai thác thật: kẻ tấn công nạp /usr/local/lib/php/pearcmd.php để ghi file PHP do chúng kiểm soát vào /tmp hoặc /var/tmp, sau đó nạp một script upload web shell lấy từ GitHub.
  • Hệ thống honeypot của Previdian ghi nhận 68 lượt khai thác kể từ 23/9, xuất phát từ một IP ở bang New Jersey (Mỹ) và một IP ở Indonesia.

Theo Ryan Dewhurst, nhà sáng lập Previdian, các điều kiện tiên quyết khiến việc khai thác khó thành công hơn. Cộng với việc WordPress bật cập nhật tự động mặc định, ông dự đoán sẽ có nhiều đợt quét hàng loạt nhưng số website thực sự bị xâm nhập tương đối ít.

CISA đưa vào danh mục KEV

Ngày 25/9/2026, Cơ quan An ninh mạng và Hạ tầng Mỹ (CISA) đã đưa CVE-2026-87902 vào danh mục Known Exploited Vulnerabilities (KEV), yêu cầu các cơ quan liên bang dân sự áp dụng bản vá trước ngày 28/9/2026.

Chủ website cần làm gì ngay?

  • Cập nhật WordPress lên 7.1.2 (hoặc 7.0.6, 6.9.9, 6.8.10... tùy nhánh đang dùng). Kiểm tra lại cả những website đã bật tự động cập nhật, vì cập nhật tự động có thể bị tắt hoặc lỗi.
  • Tìm dấu hiệu xâm nhập: file PHP lạ trong /tmp, /var/tmp và các thư mục ghi được; request trong log truy cập có chứa ../ hoặc tham chiếu tới pearcmd.
  • Giảm bề mặt tấn công: tắt register_argc_argv cho request web, gỡ PEAR nếu không dùng, và kiểm tra theme có thư mục page-... ở cấp cao nhất hay không.
  • Nếu phát hiện website đã bị xâm nhập, cần dọn dẹp toàn diện (web shell, tài khoản quản trị lạ, cron lạ) và đổi toàn bộ mật khẩu, khóa bí mật.

Đây là lời nhắc rằng khoảng thời gian giữa lúc công bố bản vá và lúc bị khai thác giờ chỉ còn tính bằng giờ. Bật cập nhật tự động cho lõi WordPress và theo dõi thông báo bảo mật là điều không thể bỏ qua.

Nguồn tham khảo: The Hacker News, Patchstack, Previdian và CISA.