WordPress tự động rà soát bảo mật mọi bản cập nhật plugin trước khi phát hành
Nội dung bài viết

WordPress thông báo sẽ rà soát bảo mật tự động cho mọi bản phát hành plugin trước khi bản đó được phân phối qua API cập nhật của WordPress.org. Mục tiêu là phát hiện lỗ hổng hoặc mã độc lọt vào các bản cập nhật - mắt xích mà từ trước tới nay gần như không được kiểm soát.

Khoảng trống cần lấp

Plugin mới được kiểm duyệt trước khi lên thư viện, nhưng sau đó các bản cập nhật được phát hành liên tục mà không có bước kiểm tra thống nhất. Theo David Perez, đồng trưởng nhóm quản lý kho plugin chính thức, một plugin an toàn hôm nay hoàn toàn có thể chứa lỗ hổng hoặc mã độc ở bản sau.

Rủi ro này đã thành hiện thực: ngày 28/7/2026, hệ thống rà soát tự động phát hiện một backdoor được commit vào một plugin có khoảng 20.000 lượt cài đặt. Do bản phát hành vẫn đang trong thời gian chờ, phiên bản nhiễm độc chưa kịp được phân phối. Plugin bị đóng tải về 26 phút sau khi nhóm Plugins nhận cảnh báo từ Wordfence. WordPress không công bố tên plugin.

Thời gian chờ "Protect The Shire"

Từ 5/6/2026, theo sáng kiến bảo mật Protect The Shire, mọi plugin và theme phải trải qua một thời gian chờ (cooldown) trước khi được phát qua cập nhật tự động, để bản cập nhật độc hại không tới tay người dùng ngay lập tức. Thời gian chờ ban đầu là 24 giờ, hiện đã rút xuống 6 giờ.

Bước mới bổ sung là: nếu một bản phát hành bị chấm điểm rủi ro cao, việc phân phối tự động dừng lại mà không cần nhóm Plugins can thiệp thủ công.

Quy trình hoạt động

  1. Trong thời gian chờ, thay đổi trong mỗi bản phát hành được phân tích bởi các mô hình AI kết hợp Jetpack Scan.
  2. Kết quả được đối chiếu chéo và gộp thành điểm bảo mật - điểm càng cao, rủi ro càng lớn.
  3. Bản có điểm rủi ro cao bị chặn tự động; bản dưới ngưỡng tiếp tục quy trình bình thường.
  4. Người commit plugin chỉ nhận email báo kết quả khi bản phát hành bị chặn.

Điểm rủi ro cao không đồng nghĩa với ý đồ xấu: hệ thống chấm điểm cả lỗ hổng vô tình lẫn mã độc cố ý.

Những mẫu code dễ bị chấm điểm rủi ro cao

Theo Perez, bộ rà soát tìm các loại lỗ hổng giống như một cuộc kiểm toán bảo mật thông thường. Lập trình viên nên tránh:

  • Endpoint REST, AJAX hoặc admin-post thiếu kiểm tra capability (chỉ có nonce là chưa đủ để phân quyền).
  • Câu truy vấn không dùng $wpdb->prepare().
  • Đường dẫn file, upload, xóa file hoặc include được ghép từ dữ liệu request.
  • Gọi unserialize() trên dữ liệu request hoặc phản hồi từ máy chủ ngoài.
  • Ghi option, user meta hay cài đặt từ endpoint mà subscriber hoặc khách chưa đăng nhập truy cập được.
  • Tải hoặc thực thi code lúc chạy, code bị làm rối (obfuscated) hoặc nén.

WordPress khuyến khích tuân theo WordPress Coding Standards và dùng PHP_CodeSniffer (PHPCS) để kiểm tra code; với extension WooCommerce thì nên dùng bộ công cụ Quality Insights Toolkit (QIT).

Khi bị chặn thì làm gì?

Cách duy nhất để gỡ chặn là xem kết quả, sửa lỗi và phát hành bản mới. Nếu bản mới có điểm dưới ngưỡng, nó sẽ đi tiếp qua thời gian chờ như bình thường. Tác giả có thể liên hệ nhóm Plugins nếu cho rằng kết quả sai, nhưng do khối lượng công việc lớn, phát hành bản sửa lỗi gần như luôn nhanh hơn chờ xem xét khiếu nại.

Ý nghĩa với chủ website

Đây là bước tiến đáng kể trong việc chống tấn công chuỗi cung ứng qua plugin - loại tấn công ngày càng phổ biến với WordPress. Tuy vậy, nó chỉ áp dụng cho plugin phân phối qua WordPress.org; plugin mua ngoài hoặc tải từ nguồn khác vẫn cần được kiểm soát riêng.

Nguồn tham khảo: The Hacker News và thông báo của nhóm Plugins WordPress.org.