Prime Mover CVE-2026-115806 là lỗ hổng nặng nhất trong loạt lỗi plugin WordPress được công bố từ 23 đến 25/10/2026. NVD đăng lỗi ngày 24/10 với điểm CVSS 3.1 là 9.8, do Wordfence cấp CVE. Plugin sao lưu và chuyển site này có hơn 10.000 lượt cài đặt hoạt động. Kẻ tấn công không cần tài khoản vẫn có thể cài sẵn mã độc chờ quản trị viên kích hoạt.

Tóm tắt nhanh

  • Prime Mover ≤ 2.2.1: PHP Object Injection, CVSS 9.8, không cần đăng nhập. Cập nhật lên 2.2.2.
  • WP Stripe Checkout < 1.2.2.62: giả thông báo thanh toán, tạo đơn hoàn tất không cần trả tiền.
  • GTM Server Side (Stape) 2.0.0 – 2.1.47: lộ dữ liệu đơn WooCommerce của khách khác, CVSS 4.0 là 8.7.
  • LiteSpeed Cache < 7.9.2: hai lỗi XSS có điều kiện và một lỗi thiếu phân quyền.
  • GeoDirectory < 2.8.194: nhiều lỗi, gồm sửa tin đăng của khách không cần đăng nhập.

Chi tiết lỗi Prime Mover CVE-2026-115806

Theo mô tả trên NVD, hàm tìm và thay thế (search-and-replace) của Prime Mover giải tuần tự (unserialize) dữ liệu không đáng tin. Kẻ tấn công gửi một bình luận chứa đối tượng PHP đã serialize, mã hóa base64, qua trang gửi bình luận thông thường. Mã độc nằm chờ trong database.

Khi quản trị viên chạy xuất (export) hoặc khôi phục (restore) site, plugin giải tuần tự giá trị đó. Thư viện Freemius đi kèm plugin cung cấp sẵn chuỗi gadget, nên không cần plugin hay theme nào khác. Lỗi thuộc nhóm CWE-502, vector AV:N/AC:L/PR:N/UI:N.

Trang plugin trên WordPress.org cho thấy bản 2.2.2 có ghi chú "Hardened unserialize implementation to prevent object injection", ghi công Wordfence. Điều đáng lo là Prime Mover hay được dùng đúng lúc chuyển site sang hosting mới, tức là lúc quản trị viên chạy xuất và khôi phục.

Các plugin khác cần cập nhật

PluginCVELỗiBản an toàn
Prime MoverCVE-2026-115806Object Injection, không cần đăng nhập, CVSS 9.82.2.2
WP Stripe CheckoutCVE-2026-110285Không kiểm tra chữ ký webhook Stripe khi chưa đặt signing secret (mặc định)1.2.2.62
GTM Server Side (Stape)CVE-2026-55826Lộ toàn bộ dữ liệu đơn hàng, gồm thông tin cá nhân, của khách khác vào dataLayer2.1.48
LiteSpeed CacheCVE-2026-113499, CVE-2026-113500, CVE-2026-113501XSS qua tên người bình luận khi bật một số tùy chọn CDN, font; thành viên Subscriber ẩn được thông báo quản trị7.9.2
GeoDirectoryCVE-2026-113674 và nhiều CVE khácSửa, gỡ tin đăng của khách khi bật đăng tin không cần tài khoản; lộ tin nháp; XSS2.8.194
Popup BuilderCVE-2026-112230Người lạ đưa popup vào thùng rác, CVSS 3.74.4.6
Speed OptimizerCVE-2026-111737XSS lưu trữ bởi quản trị viên, chủ yếu ảnh hưởng multisite7.8.5

Với WP Stripe Checkout, lỗi ảnh hưởng trực tiếp tới doanh thu: kẻ gian có thể tạo đơn "đã thanh toán" mà không trả tiền. Với GTM Server Side, cửa hàng WooCommerce có nguy cơ lộ dữ liệu cá nhân của khách hàng. LiteSpeed Cache cho biết đã phát hành 7.9.2 trên kho WordPress từ 19/10 và đưa vào bản ổn định trong bảng điều khiển ngày 23/10.

Chủ website và hosting nên làm gì?

  1. Cập nhật ngay Prime Mover lên 2.2.2. Nếu chưa cập nhật được, tạm tắt plugin và không chạy xuất, khôi phục.
  2. Rà bình luận lạ trong database trước khi chạy xuất site, đặc biệt bình luận chứa chuỗi base64 dài. Ví dụ với WP-CLI: wp comment list --status=all --fields=comment_ID,comment_author,comment_date.
  3. Cập nhật hàng loạt bằng WP-CLI trên VPS: wp plugin update prime-mover litespeed-cache, sau đó wp plugin list --update=available để xem plugin còn sót.
  4. Shop dùng WP Stripe Checkout: cập nhật lên 1.2.2.62 và đặt webhook signing secret. Đối chiếu các đơn "đã thanh toán" gần đây với bảng điều khiển Stripe.
  5. LiteSpeed Cache: nếu chưa lên 7.9.2 được, bật kiểm duyệt bình luận để chặn hai lỗi XSS.
  6. Bật cập nhật tự động cho plugin ít tùy biến, và sao lưu trước mỗi đợt cập nhật lớn.

Đầu tháng này, lỗ hổng Bricksforge CVE-2026-85097 đã bị khai thác chỉ vài ngày sau khi công bố. Đừng chờ đến khi có tin bị tấn công mới cập nhật.

Nguồn tham khảo