Lỗ hổng nghiêm trọng trong plugin Bricksforge của WordPress đang bị khai thác trên diện rộng

WordPress

Một lỗ hổng nghiêm trọng trong plugin Bricksforge dành cho WordPress đang bị khai thác ngoài thực tế, theo công ty bảo mật WordPress Patchstack. Lỗ hổng mang mã CVE-2026-85097 với điểm CVSS 9.8 — mức cao nhất trong thang đánh giá nguy hiểm. Kẻ tấn công không cần xác thực có thể lợi dụng lỗ hổng để tải lên tệp tùy ý và thực thi mã độc, từ đó chiếm toàn quyền kiểm soát các website WordPress bị nhắm mục tiêu.

Chi tiết về lỗ hổng

Theo Patchstack, lỗ hổng cho phép kẻ tấn công chưa xác thực tải lên tệp tin tùy ý (arbitrary file upload) và thực thi mã từ xa (RCE). Đây là dạng lỗi đặc biệt nguy hiểm bởi nó không đòi hỏi bất kỳ thông tin đăng nhập nào — chỉ cần website đang chạy phiên bản plugin bị ảnh hưởng là có thể trở thành mục tiêu.

Lỗ hổng đã được vá trong phiên bản 3.1.8.10. Các phiên bản 3.1.8.9 và trước đó đều bị ảnh hưởng. Patchstack bắt đầu ghi nhận các nỗ lực khai thác thực tế từ ngày 7 tháng 10.

Bricksforge là gì và mức độ ảnh hưởng

Bricksforge là một tiện ích mở rộng thương mại cho trình dựng website trực quan Bricks, bổ sung thêm nhiều công cụ cho website WordPress như biểu mẫu tùy chỉnh, hiệu ứng hoạt hình, công cụ thiết kế email và các trang quản trị. Theo Patchstack, plugin này đang được khoảng 6.000 website sử dụng.

Con số 6.000 tuy không lớn so với hàng triệu website WordPress trên toàn cầu, nhưng Bricksforge thường được dùng bởi các nhà thiết kế và agency chuyên nghiệp — nhóm đối tượng vận hành nhiều website khách hàng cùng lúc. Với người dùng WordPress tại Việt Nam, các agency thiết kế web thường xuyên triển khai Bricks kết hợp Bricksforge cho khách hàng doanh nghiệp, nên rủi ro lây lan theo chuỗi là hoàn toàn có thể xảy ra.

Dấu hiệu khai thác tự động quy mô lớn

Patchstack mô tả hai cụm hoạt động đáng chú ý trong dữ liệu giám sát của mình:

• Cụm thứ nhất: 44 địa chỉ IP gửi 56 yêu cầu với các payload giống hệt nhau chỉ trong vài giây.
• Cụm thứ hai: 3 địa chỉ IP thử nghiệm 25 biến thể phần mở rộng và cách mã hóa PHP khác nhau nhắm vào cùng một tệp tạm.

"Cả hai mô hình đều cho thấy hoạt động khai thác tự động thông qua proxy luân chuyển hoặc hạ tầng phân tán. Bản thân chúng chưa đủ để quy kết hoạt động này cho một nhóm tấn công cụ thể nào." — Patchstack cho biết.

Việc kẻ tấn công sử dụng proxy luân chuyển và hạ tầng phân tán cho thấy đây là chiến dịch có tổ chức, sử dụng công cụ tự động quét và khai thác hàng loạt. Đây là mô hình tấn công ngày càng phổ biến: ngay khi bản vá được công bố, tin tặc phân tích thay đổi trong mã nguồn để tìm ra lỗ hổng và triển khai khai thác trên diện rộng trước khi người dùng kịp cập nhật.

Bối cảnh rộng hơn

Việc tin tặc nhắm vào các lỗ hổng WordPress ngay sau khi bản vá được phát hành không còn là chuyện hiếm. Trước đó, hàng loạt sự cố tương tự đã xảy ra: hơn 3 triệu website WordPress bị ảnh hưởng bởi lỗ hổng trong plugin Migration, các lỗ hổng RCE chưa xác thực có thể khiến hơn 200.000 website bị chiếm quyền, và các website WordPress từng bị nhắm mục tiêu qua lỗ hổng trong plugin MiniOrange.

Xu hướng này phản ánh một thực tế đáng lo ngại: hệ sinh thái plugin WordPress là bề mặt tấn công rộng lớn và phân tán, nơi chất lượng bảo mật giữa hàng chục nghìn plugin rất không đồng đều. Mỗi plugin là một mắt xích, và chỉ cần một mắt xích yếu là toàn bộ website có thể bị xâm phạm.

Khuyến nghị cho quản trị viên

Bảo mật WordPress

Với tính chất nguy hiểm của lỗ hổng và việc nó đã bị khai thác thực tế, các quản trị viên website WordPress cần hành động ngay:

• Cập nhật Bricksforge lên phiên bản 3.1.8.10 hoặc mới hơn ngay lập tức nếu đang sử dụng.
• Kiểm tra nhật ký máy chủ để tìm dấu hiệu tải lên tệp đáng ngờ, đặc biệt là các tệp PHP trong thư mục uploads.
• Rà soát các tệp tin lạ trong thư mục plugin, themes và uploads — mã độc thường được ngụy trang dưới dạng tệp ảnh hoặc tên tệp trông vô hại.
• Cân nhắc triển khai tường lửa ứng dụng web (WAF) để chặn các mẫu khai thác đã biết.
• Thực hiện nguyên tắc đặc quyền tối thiểu: giới hạn quyền ghi tệp và vô hiệu hóa chỉnh sửa tệp trực tiếp từ bảng điều khiển WordPress.
• Sao lưu dữ liệu định kỳ và kiểm tra khả năng khôi phục, đề phòng trường hợp website đã bị xâm phạm.

Trong bối cảnh các chiến dịch khai thác tự động ngày càng nhanh và tinh vi, việc chủ động cập nhật bản vá không còn là lựa chọn mà là yêu cầu bắt buộc. Khoảng thời gian từ khi bản vá phát hành đến khi bị khai thác đang ngày càng thu hẹp — đôi khi chỉ còn vài giờ. Với các agency và cá nhân quản lý nhiều website WordPress, việc xây dựng quy trình cập nhật tự động và giám sát bảo mật liên tục là cách phòng thủ hiệu quả nhất trước làn sóng tấn công ngày càng dày đặc này.