Cập nhật ngày 16/09/2026: nửa đầu tháng 9 đã xuất hiện nhiều lỗ hổng WordPress đáng chú ý liên quan đến chiếm quyền Administrator, authentication bypass, privilege escalation, arbitrary file upload và remote code execution. Bài này là một snapshot phục vụ rà soát nhanh, không phải danh sách đầy đủ mọi CVE được công bố trong tháng.
Bổ sung ngày 18/09/2026: SecureWebOps đã có phân tích riêng về CVE-2026-87796 trong Multi Uploader for Gravity Forms, CVE-2026-87935 trong Paid Downloads và WordPress 7.1.1 vá 11 lỗi bảo mật. Ba bài này là cập nhật sau snapshot ngày 16/09 và được tách riêng để giữ rõ affected component, điều kiện khai thác và checklist xử lý.
Điểm quan trọng nhất là không đánh đồng “mức độ nghiêm trọng cao” với “đã bị khai thác ngoài thực tế”. Trong danh sách dưới đây, chỉ các mục được nguồn đánh dấu Known Exploited Vulnerability (KEV) mới được gọi là đã có bằng chứng khai thác; các mục còn lại cần ưu tiên vá theo mức phơi nhiễm, điều kiện khai thác và vai trò của plugin trên website.
16 lỗ hổng WordPress nổi bật cần rà soát
Nhóm có thể dẫn tới chiếm quyền tài khoản hoặc Administrator
- Amelia 8.0–9.6.2: privilege escalation không cần đăng nhập, bản vá 9.6.3. Patchstack đánh dấu KEV, CVSS 9.8. Nguồn.
- TranslatePress ≤ 3.3.1: account takeover/privilege escalation không cần đăng nhập, bản vá 3.3.2; được Patchstack đánh dấu KEV. Nguồn.
- WP Plugin Bluehost ≤ 4.19.0: authentication bypass không cần đăng nhập, bản vá 4.19.1; Patchstack đánh dấu KEV. Nguồn.
- WP Plugin Web ≤ 2.3.5: broken authentication không cần đăng nhập, bản vá 2.3.6, CVSS 9.8. Nguồn không nên được diễn giải thành “đã khai thác” nếu chưa có KEV. Nguồn.
- MemberDash ≤ 1.8.5: account takeover qua kiểm soát truy cập không an toàn, bản vá 1.8.6, CVSS 9.8. Nguồn.
- Frontend Admin by DynamiApps ≤ 3.29.12: account takeover không cần đăng nhập, bản vá 3.29.13, CVSS 9.8. Nguồn.
Nhóm arbitrary file upload và RCE
- WP Cookie Notice for GDPR, CCPA & ePrivacy Consent ≤ 4.4.1: arbitrary file upload không cần đăng nhập, bản vá 4.4.2, CVSS 10. Đây là loại lỗi có thể trở thành entry point cho backdoor hoặc webshell nếu file được lưu và thực thi trong vùng nguy hiểm. Nguồn.
- Drag and Drop File Upload for Elementor Forms ≤ 1.6.0: arbitrary file upload không cần đăng nhập, bản vá 1.6.1, CVSS 10. Nguồn.
- MIPL Grouped Checkout Fields for WooCommerce ≤ 1.2.2: arbitrary file upload không cần đăng nhập, bản vá 1.2.3, CVSS 10. Nguồn.
- Developer Tools ≤ 1.1.3: arbitrary file upload, CVSS 10; tại thời điểm snapshot nguồn ghi chưa có bản vá chính thức. Với plugin chưa có patch, phương án an toàn thường là vô hiệu hóa/gỡ khỏi production nếu không thật sự cần, đồng thời kiểm tra dấu hiệu compromise. Nguồn.
- DevKit Pro ≤ 2.3.0: RCE yêu cầu tài khoản Subscriber trở lên, bản vá 2.3.1, CVSS 8.8. Nguồn.
- The Events Calendar ≤ 6.17.4: PHP object injection có thể dẫn tới RCE không cần đăng nhập, bản vá 6.17.4.1, CVSS 9.8; Patchstack đánh dấu KEV. Nguồn.
Nhóm privilege escalation cần tài khoản hoặc luồng đăng ký
- Authorizer ≤ 3.15.1: privilege escalation, bản vá 3.15.2, CVSS 9.8. Nguồn.
- ACF Extended 0.9.2.2–0.9.2.6: privilege escalation không cần đăng nhập, bản vá 0.9.2.7, CVSS 8.1. Nguồn.
- WP Fusion Pro ≤ 3.47.13: privilege escalation với Subscriber+, bản vá 3.47.14. Nguồn.
- Eventin / WP Event Solution ≤ 4.1.23: privilege escalation với Subscriber+, bản vá 4.1.24. Nguồn.
Website của bạn nên ưu tiên lỗi nào trước?
Không nên sắp xếp chỉ bằng CVSS. Với WordPress production, thứ tự xử lý thực tế nên bắt đầu từ việc xác định plugin có đang được cài và kích hoạt hay không, phiên bản hiện tại, website có public registration hay không, có tài khoản Subscriber/Customer/Contributor không, endpoint dễ bị gọi từ Internet hay không và nguồn có bằng chứng khai thác thực tế hay chưa.
- Ưu tiên khẩn cấp: vulnerability đã được đánh dấu exploited/KEV, unauthenticated RCE, unauthenticated authentication bypass, account takeover và arbitrary upload có khả năng đưa file thực thi vào webroot.
- Ưu tiên cao: privilege escalation yêu cầu role thấp nếu site cho phép đăng ký hoặc có nhiều user không hoàn toàn tin cậy.
- Không trì hoãn chỉ vì có WAF: WAF có thể giảm exploitability nhưng không thay thế việc cập nhật component vulnerable.
Quy trình rà soát an toàn trong 30 phút đầu
- Xuất inventory plugin/theme và phiên bản đang chạy; không dựa vào danh sách plugin “nhớ là có”.
- Đối chiếu chính xác vulnerable range và patched version từ advisory hiện hành.
- Nếu plugin nằm trong vulnerable range, backup trạng thái cần thiết trước thay đổi và cập nhật lên bản đã vá khi có thể.
- Nếu chưa có patch và plugin không bắt buộc, cân nhắc disable/remove khỏi production sau khi đánh giá dependency.
- Với lỗi account takeover hoặc privilege escalation, rà user Administrator mới, thay đổi role/capability, session và hoạt động đặc quyền.
- Với arbitrary upload/RCE, rà file mới hoặc thay đổi bất thường, đặc biệt trong thư mục upload, cache, tmp và các đường dẫn writable.
- Sau patch, xác minh phiên bản thực tế, chức năng website và log; patch thành công không chứng minh rằng website chưa từng bị compromise.
Nếu nghi ngờ website đã bị khai thác, xem thêm Root Cause Analysis sau Security Incident, phát hiện file WordPress thay đổi bất thường và case webshell qua file upload và PHP execution.
WAF chặn được request có đồng nghĩa đã an toàn?
Không. WAF là lớp mitigation ở đường request; bản vá sửa root cause trong component. Nếu advisory đã có patched version, mục tiêu cuối cùng vẫn là đưa component ra khỏi vulnerable range. Sau đó mới dùng log WAF, application log và file integrity để đánh giá có dấu hiệu exploit trước thời điểm vá hay không.
Giới hạn của snapshot này
Danh sách trên được tổng hợp từ advisory công khai đến ngày 16/09/2026 và có thể thay đổi khi nhà cung cấp cập nhật trạng thái exploited, affected range hoặc patched version. Trước khi remediation, luôn mở advisory gốc và kiểm tra phiên bản mới nhất. Trang thống kê WordPress của Patchstack cho thấy nhóm lỗi được khai thác gần đây gồm The Events Calendar, Bluehost và một số plugin khác; đây là tín hiệu ưu tiên, không phải bằng chứng rằng mọi website cài plugin tương ứng đều đã bị xâm nhập.
Nguồn tham khảo chính: Patchstack WordPress vulnerability statistics 2026 và các advisory cụ thể được dẫn trong từng mục.