(Nguồn ảnh: Shutterstock)
Hiện có khoảng 50.000 trang web WordPress đang có nguy cơ bị chiếm quyền kiểm soát hoàn toàn, do một lỗ hổng bảo mật nghiêm trọng mới được phát hiện trong một plugin phổ biến .
Vào giữa tháng 12 năm 2025, Wordfence đã được nhà nghiên cứu bảo mật Andrea Bocchetti thông báo về một lỗ hổng trong Advanced Custom Fields: Extended, một plugin bổ sung thêm nhiều tính năng cho plugin Advanced Custom Fields (ACF).
ACF cũng cho phép người dùng thêm các trường tùy chỉnh vào bài viết và trang, và hiện đang được khoảng 100.000 trang web WordPress sử dụng rộng rãi.
Làm thế nào để giữ an toàn
Bocchetti cho biết lỗi này bắt nguồn từ việc các hạn chế về vai trò không được thực thi đúng cách trong quá trình tạo hoặc cập nhật người dùng dựa trên biểu mẫu.
"Trong phiên bản dễ bị tổn thương, không có bất kỳ hạn chế nào đối với các trường biểu mẫu, vì vậy vai trò của người dùng có thể được thiết lập tùy ý, thậm chí là 'quản trị viên', bất kể cài đặt trường, nếu có trường vai trò được thêm vào biểu mẫu," Wordfence giải thích trong thông báo của mình.
"Giống như bất kỳ lỗ hổng leo thang đặc quyền nào, lỗ hổng này có thể được sử dụng để xâm nhập hoàn toàn vào hệ thống."
Nói cách khác, bất kỳ người dùng nào chưa được xác thực đều có thể tự thiết lập mình làm quản trị viên cho một trang web WordPress, về cơ bản là chiếm quyền kiểm soát trang web đó.
Lỗ hổng này được phát hiện trong các phiên bản 0.9.2.1 trở xuống và hiện đang được theo dõi với mã số CVE-2025-14533. Mức độ nghiêm trọng được đánh giá là 9.8/10 (nghiêm trọng).
Điểm tích cực là lỗ hổng này khó bị khai thác. Các trang web cần sử dụng biểu mẫu "Tạo người dùng" hoặc "Cập nhật người dùng" với trường vai trò được ánh xạ.
Lỗi này đã được khắc phục trong phiên bản 0.9.2.2. Theo số liệu chính thức của WordPress, khoảng 50.000 trang web đã cập nhật lên phiên bản mới nhất, nghĩa là số lượng trang web vẫn còn nguy cơ bị ảnh hưởng cũng xấp xỉ con số đó.
Tính đến thời điểm bài báo này được viết, chưa có bằng chứng nào cho thấy lỗ hổng này bị lợi dụng trong thực tế, nhưng giờ đây khi thông tin đã được lan truyền, có thể dự đoán rằng tội phạm mạng sẽ bắt đầu ít nhất là tìm kiếm các lỗ hổng.
