Nội dung bài viết
Ngày 17/9/2026, WordPress phát hành bản bảo mật 7.1.1, trong đó vá một lỗ hổng ở lõi được nhóm nghiên cứu của công ty bảo mật pwn.ai đặt tên là Click2Shell. Chỉ cần một quản trị viên đang đăng nhập mở một đường link do kẻ tấn công chuẩn bị, WordPress sẽ tự cài một theme từ thư viện chính thức WordPress.org mà không cần ai bấm nút Install.
Hiện chưa có dấu hiệu lỗ hổng bị khai thác trong thực tế, nhưng WordPress khuyến nghị cập nhật ngay.
Lỗ hổng hoạt động như thế nào?
Gốc rễ nằm ở việc hai thành phần của WordPress hiểu cùng một tham số trên URL theo hai cách khác nhau:
- Phía thư viện WordPress.org coi giá trị đó là tên theme bình thường và trả về một theme có thật.
- Phía trình duyệt của quản trị viên lại dùng nguyên văn chuỗi ban đầu (kể cả các ký tự đặc biệt) để chọn phần tử trên trang.
Bằng cách chèn thêm ký tự vào link, kẻ tấn công điều hướng đoạn mã đó trỏ tới nút Install, và chính JavaScript của WordPress sẽ bấm nút này. Vì quản trị viên đã đăng nhập sẵn, phiên làm việc của họ cung cấp luôn quyền hạn và security token cần thiết.
Theme bị cài vào vẫn ở trạng thái tắt nên giao diện website không thay đổi, khó phát hiện bằng mắt thường.
Từ cài theme đến chạy mã trên máy chủ
Bản thân lỗi lõi chỉ cài được một theme thật do kẻ tấn công lựa chọn - nó không cho phép tải lên file ZIP tùy ý. Tuy nhiên, một theme đã cài không hẳn "nằm im": khi WordPress dựng bản xem trước trong Customizer, mã PHP của theme có thể được nạp dù theme chưa kích hoạt.
Trong bản demo, pwn.ai dùng theme Mobile Repair Zone, vốn có một handler chạy nền tải gói từ một URL lấy trong request rồi thực thi, mà không kiểm tra quyền hay token. Ghép hai lỗi lại, kẻ tấn công chạy được mã của mình trên máy chủ.
Mức độ nghiêm trọng
| Hạng mục | Đánh giá của pwn.ai |
|---|---|
| Lỗi ép cài theme (riêng lẻ) | Cao - CVSS 7.1 |
| Cả chuỗi tới thực thi mã | Nghiêm trọng - CVSS 9.6 |
WordPress chưa công bố điểm riêng và mô tả ngắn gọn rằng URL được chế tác đặc biệt có thể tự động cài và xem trước một theme chưa kích hoạt. Lỗ hổng chưa có mã CVE, nhưng theo pwn.ai, WordPress dự kiến sẽ bổ sung.
Phiên bản bị ảnh hưởng và cách xử lý
- Ghi chú phát hành xác nhận lỗi tồn tại từ WordPress 6.0 cho đến các bản ngay trước bản vá.
- Bản vá có trong 7.1.1 và được đưa ngược về các nhánh còn hỗ trợ, xa nhất tới 4.7.
- Website bật cập nhật tự động sẽ nhận bản vá mà không cần thao tác.
WordPress và pwn.ai đều không đưa ra giải pháp tạm thời nào khác. Điều kiện bắt buộc của cuộc tấn công là một quản trị viên đang đăng nhập phải mở link độc hại, nên trong lúc chưa cập nhật, quản trị viên nên hạn chế bấm vào link lạ khi đang đăng nhập trang quản trị. Cập nhật lõi WordPress sẽ chặn được kịch bản đã được trình diễn bất kể website dùng theme nào.
Không phải lần đầu
Đây không phải lỗ hổng lõi WordPress đầu tiên mà pwn.ai công bố gần đây. Tháng 8, WordPress đã vá một lỗi tương tự ở màn hình đăng nhập do chính nhóm này tìm ra (XSS2Shell), cũng có thể ghép thành chuỗi thực thi mã. Ngoài ra, lỗ hổng wp2shell công bố hồi tháng 7 là một lỗi khác, không liên quan đến pwn.ai - lỗi đó không cần đăng nhập, không cần click và đã được CISA đưa vào danh sách lỗ hổng đang bị khai thác.
Nguồn tham khảo: The Hacker News, pwn.ai và ghi chú phát hành của WordPress.
