WordPress 7.1.4 là bản cập nhật bảo mật phát hành ngày 28/10/2026, sửa 22 lỗ hổng. Lỗi đáng chú ý nhất là race condition trong quá trình cập nhật core WordPress, có thể dẫn tới chạy mã từ xa (RCE) mà không cần tài khoản. Chỉ một ngày sau, Wordfence cảnh báo kẻ tấn công đã bắt đầu dò khai thác lỗi này trên diện rộng. Nếu site của bạn chưa ở bản 7.1.4 hoặc bản backport tương ứng, hãy cập nhật ngay.

Tóm tắt nhanh

  • Phát hành: 28/10/2026, 22 lỗ hổng trong 17 mục tư vấn.
  • Lỗi nặng nhất: race condition khi cập nhật core, có thể dẫn tới RCE, do Umut Bayram báo cáo. Chưa có mã CVE, CVSS 8.1.
  • Ảnh hưởng: WordPress 4.7 đến 7.1.3.
  • Khai thác: Wordfence ghi nhận hơn 18.500 request độc hại trong 21 giờ sau khi bản vá ra mắt.
  • Việc cần làm: cập nhật lên 7.1.4 hoặc bản backport, chặn truy cập web vào wp-content/upgrade/.

Lỗi RCE khi cập nhật core là gì?

Thông báo chính thức của WordPress chỉ mô tả ngắn gọn đây là "race condition trong quá trình cập nhật core có thể dẫn tới thực thi mã từ xa". Bài phân tích của Patchstack ngày 28/10/2026 nêu rõ hơn nguyên nhân:

  • Trước 7.1.4, thư mục giải nén bản cập nhật có tên đoán được.
  • Quy trình dọn dẹp xóa mất file index.php vốn dùng để chặn liệt kê thư mục.
  • Trong vài giây cập nhật, một bản WordPress đầy đủ, gồm cả wp-admin/setup-config.php, nằm ở đường dẫn đoán được và truy cập được qua web.

Kẻ tấn công chỉ cần gửi request vào đúng khoảng thời gian đó. Patchstack chấm độ phức tạp tấn công cao (AC:H) và cho rằng lỗi "không thực tế để khai thác", nhưng nhấn mạnh khoảng hở lặp lại ở mỗi lần cập nhật, kể cả cập nhật tự động. Theo SecurityOnline, kẻ tấn công dùng script tự động liên tục dò site để bắt đúng thời điểm cập nhật.

Bản 7.1.4 sửa bằng cách thêm 16 ký tự ngẫu nhiên vào tên thư mục, tạo lại file index.php thay vì xóa, và loại wp-config.php khỏi danh sách file được sao chép.

Dấu hiệu bị khai thác

Theo SecurityOnline ngày 30/10/2026, Wordfence cảnh báo ngày 29/10 rằng "dữ liệu đo từ xa của Wordfence cho thấy kẻ tấn công đã chủ động thử khai thác lỗ hổng". Wordfence ghi nhận hơn 18.500 request độc hại nhắm vào đường dẫn cài đặt tạm trong vòng 21 giờ kể từ khi bản vá ra mắt. Hiện chưa có xác nhận về mã khai thác công khai hoạt động được.

Các lỗi khác trong WordPress 7.1.4

  • Interactivity API: nhiều lỗi stored XSS, prototype pollution và một lỗi từ chối dịch vụ trên tab trình duyệt. Phần lớn cần tài khoản từ quyền Contributor trở lên.
  • Block: stored XSS trong các block Categories, Comments Pagination, Post Navigation Link; xử lý không an toàn trong block Image và Playlist.
  • Customizer: thay đổi chưa xuất bản có thể lộ cho khách chưa đăng nhập.
  • Ghi chú (notes): vai trò kiểm duyệt bình luận tùy chỉnh có thể đọc, sửa, xóa ghi chú trên bài họ không có quyền sửa.
  • Chứng chỉ gốc: cập nhật bộ chứng chỉ đi kèm sau khi chứng chỉ eMudhra bị thu hồi (xem bài eMudhra lộ khóa CA).

Bản vá cho các nhánh cũ

NhánhBản đã vá
7.17.1.4
7.0 / 6.97.0.8 / 6.9.11
6.8 / 6.7 / 6.66.8.12 / 6.7.11 / 6.6.11
6.5 / 6.4 / 6.36.5.14 / 6.4.14 / 6.3.14
6.2 / 6.1 / 6.06.2.15 / 6.1.16 / 6.0.18
4.9 / 4.8 / 4.74.9.35 / 4.8.34 / 4.7.39
4.6 trở về trướcKhông còn được vá

Cần làm gì ngay?

  1. Kiểm tra phiên bản: vào Bảng tin > Cập nhật, hoặc chạy wp core version nếu có WP-CLI.
  2. Cập nhật: bấm cập nhật trong trang quản trị hoặc chạy wp core update. Với nhiều site, dùng công cụ quản lý của bảng điều khiển hosting để cập nhật hàng loạt.
  3. Chặn thư mục upgrade trên Nginx: thêm location ^~ /wp-content/upgrade/ { deny all; } vào khối server rồi chạy nginx -t và reload.
  4. Chặn trên Apache/LiteSpeed: tạo file wp-content/upgrade/.htaccess chứa Require all denied.
  5. Kiểm tra thư mục: ngoài lúc đang cập nhật, wp-content/upgrade/ chỉ nên có file index.php. File PHP lạ trong đó là dấu hiệu cần điều tra.
  6. Rà soát tài khoản: xem lại danh sách người dùng có quyền Contributor trở lên, xóa tài khoản không dùng.

Việc chặn thư mục ở tầng web server không ảnh hưởng tới cập nhật, vì WordPress ghi và đọc file trực tiếp trên ổ đĩa. Nếu đang dùng hosting WordPress được quản lý, hãy kiểm tra nhà cung cấp đã tự cập nhật và áp quy tắc chặn hay chưa.

Nguồn tham khảo