CISA xác nhận tin tặc khai thác lỗ hổng WordPress Core trong lúc nâng cấp phần mềm

Cơ quan An ninh mạng và Hạ tầng Cơ sở Hoa Kỳ (CISA) đã bổ sung một lỗ hổng trong WordPress Core vào danh mục Lỗ hổng bị khai thác đã biết (KEV), sau khi có bằng chứng cho thấy lỗ hổng đang bị khai thác thực tế.

Chi tiết lỗ hổng

Lỗ hổng mức độ nghiêm trọng cao, được theo dõi với mã CVE-2026-119977 và điểm CVSS 8.1, thuộc dạng điều kiện tranh chấp thời điểm kiểm tra – thời điểm sử dụng (TOCTOU). Lỗ hổng có thể bị lợi dụng để thực thi mã tùy ý trên máy chủ bị ảnh hưởng. Bản vá cho lỗ hổng đã được phát hành vào cuối tháng trước.

Theo CISA, WordPress Core chứa lỗ hổng tranh chấp TOCTOU có thể cho phép kẻ tấn công chưa xác thực thực thi mã trên máy chủ trong khoảng thời gian nâng cấp. Nguyên nhân là do các đường dẫn staging có thể dự đoán được và truy cập qua web, được dùng trong quá trình nâng cấp toàn bộ gói Core.

Khai thác không cần tài khoản

Thông tin chi tiết về lỗ hổng xuất hiện tuần trước khi Wordfence cho biết việc khai thác không đòi hỏi phải có tài khoản trên trang. Tuy vậy, kẻ tấn công cần lợi dụng một khoảng thời gian ngắn trong lúc cập nhật toàn bộ Core, qua đó có thể thực thi mã mà không cần xác thực.

Trong 21 giờ đầu sau khi công bố công khai, công ty bảo mật WordPress ghi nhận hơn 18.500 yêu cầu nhắm vào các đường dẫn cài đặt "setup-config.php" đã được staging. Tính đến thời điểm viết bài, 12.632 cuộc tấn công cố khai thác lỗ hổng đã bị chặn trong 24 giờ qua.

Dữ liệu từ honeypot

Dữ liệu telemetry từ Previdian cho thấy ba nỗ lực khai thác đã được ghi nhận nhắm vào các cảm biến honeypot của họ từ một địa chỉ IP định vị tại Vương quốc Anh. Các sự kiện khai thác được quan sát vào ngày 30 tháng 10 năm 2026.

Với việc CISA chính thức xác nhận khai thác, các cơ quan thuộc Nhánh Hành pháp Dân sự Liên bang (FCEB) có thời hạn đến ngày 6 tháng 11 năm 2026 để áp dụng bản vá.

Nguồn: The Hacker News