Báo cáo mới nhất của nhà cung cấp hosting 20i công bố ngày 25/9/2026 khiến mình ngồi dậy thẳng lưng: trong hơn 44 triệu website WordPress đang hoạt động trên toàn cầu, có tới 87,62% — tương đương gần 39 triệu site — vẫn đang chạy phiên bản cũ hơn WordPress 7.1. Riêng ở Mỹ, con số là 87,86% trên 18,8 triệu site được quét. Trong một năm mà WordPress phải ra tới ba bản vá bảo mật liên tiếp chỉ trong vòng bốn tuần, đây không còn là chuyện “để mai update”, mà là cửa mở sẵn cho kẻ tấn công. Trong bài này, mình sẽ bóc tách báo cáo đó và đưa cho bạn một runbook WP-CLI kiểm tra, cập nhật toàn bộ site trong vài phút.
Báo cáo 20i nói gì chính xác?
20i dùng dữ liệu của BuiltWith để quét phiên bản CMS trên các website WordPress đang trực tuyến, tính mọi site dưới WordPress 7.1 là “chưa cập nhật”. WordPress 7.1 phát hành ngày 19/8/2026, nên khoảng cách đo được phản ánh thời điểm ngay sau release. Nhưng điểm đáng lo không phải con số 88% đó — mà là phân bố phiên bản bên dưới: 63% nhóm chưa cập nhật (gần 24,79 triệu site) đang chạy WordPress 6.9 đến 7.0.1, tức rơi đúng vào dải phiên bản dính các lỗ hổng nghiêm trọng đã được vá bằng chuỗi bản 7.0.2, 7.0.3 và 7.0.4 giữa năm 2026.
Vì sao chậm update lại nguy hiểm hơn trước?
Vì khoảng thời gian giữa lúc lỗ hổng được công bố và lúc bị khai thác thật đã rút ngắn xuống còn vài giờ, thậm chí ít hơn. Lloyd Cobb, giám đốc của 20i, nói thẳng: AI đang giúp kẻ tấn công quét và khai thác nhanh hơn trước rất nhiều. Một site chạy WordPress 6.x nghĩa là nó thiếu cả loạt bản vá mà mã khai thác đã được công khai đầy đủ trên mạng. Đáng chú ý hơn: vẫn còn khoảng 1,12 triệu site chạy WordPress 5.x, hơn 627.000 site chạy WordPress 4.x và khoảng 114.000 site chạy cả 3.x lẫn 2.x — những phiên bản tuổi đời cả chục năm. Mỗi site như vậy là một mục tiêu không cần kỹ năng gì để xâm nhập.
Kiểm tra site của bạn đang ở đâu trong 10 phút?
Đừng đoán, hãy kiểm tra. Nếu bạn quản trị nhiều site, WP-CLI là cách nhanh nhất. SSH vào server rồi chạy lần lượt từng lệnh dưới đây.
Kiểm tra phiên bản core của từng site:
wp core version --path=/var/www/thienlv.com/public_html
wp core verify-checksums --path=/var/www/thienlv.com/public_htmlLệnh thứ hai quan trọng không kém: nó xác nhận các file core không bị sửa hay cài backdoor. Liệt kê toàn bộ plugin và theme đang thiếu update:
wp plugin list --update=available --fields=name,version,update_version
wp theme list --update=available --fields=name,version,update_versionNếu bạn quản lý nhiều site cùng lúc, lưu danh sách path vào file rồi chạy vòng lặp:
while read -r site; do
echo "=== $site ==="
wp core version --path="$site"
wp plugin list --update=available --path="$site" --fields=name,version,update_version
done < /root/danh-sach-site.txtChạy xong vòng lặp này, bạn sẽ có bức tranh đầy đủ: site nào tụt hậu bao xa, plugin nào đang thiếu vá. Đây chính là bước mà 39 triệu site trong báo cáo chưa bao giờ làm.
Cập nhật an toàn theo quy trình nào?
Cobb có một câu mình hoàn toàn đồng ý: câu trả lời không phải là cài mọi bản major update ngay khi phát hành, mà là có quy trình — test trước, backup trước, update rồi kiểm tra sau. Quy trình mình dùng cho từng site như sau.
Bước 1, backup đủ core, database và uploads:
wp db export /backup/site-$(date +%F).sql --path=/var/www/thienlv.com/public_html
tar -czf /backup/site-files-$(date +%F).tar.gz /var/www/thienlv.com/public_htmlBước 2, cập nhật plugin và theme trước, core sau, vì xung đột thường nằm ở plugin cũ chưa kịp tương thích:
wp plugin update --all
wp theme update --all
wp core update
wp core update-dbBước 3, kiểm tra nhanh sau update — vào trang chủ, trang bài viết, thử đăng nhập admin, xem có lỗi 500 hay trắng trang không. Nếu site có WooCommerce thì phải test cả flow giỏ hàng và thanh toán. Lỗi thì rollback, đó là lý do mình backup ở bước 1. Bạn có thể tham khảo thêm hướng dẫn rollback WordPress khi nâng cấp lỗi và checklist nâng cấp WordPress an toàn mà mình đã viết chi tiết trước đó.
Nên bật tự động cập nhật ở mức nào?
WordPress đã bật forced auto-update cho các bản vá bảo mật nghiêm trọng như 7.0.2 — đó là lựa chọn đúng của core team. Nhưng ở phía người quản trị, mình khuyên cấu hình hai tầng: tự động cho minor và security, thủ công cho major. Bật bằng WP-CLI như sau:
wp config set WP_AUTO_UPDATE_CORE minor --raw
wp plugin auto-updates enable --all
wp theme auto-updates enable --allVới major update như 7.1 hay 7.2 sắp tới, hãy để nó vào lịch: staging test trong tuần đầu, production update trong tuần thứ hai. Như vậy bạn không rơi vào nhóm 88% trong báo cáo, mà cũng không đánh đổi sự ổn định của site bán hàng chỉ để “update cho kịp”. Cân bằng đó mới là quản trị đúng nghĩa.
Mình rút ra điều gì từ con số 88%?
Đọc báo cáo này, mình thấy vấn đề của hệ sinh thái WordPress năm 2026 không nằm ở thiếu vá — WordPress vá rất nhanh và rất đều. Vấn đề nằm ở khâu cuối: hàng chục triệu site không có ai chịu trách nhiệm nhấn nút update. Bà con mình làm site khách hàng thì đây cũng là cơ hội: một gói “bảo trì WordPress hàng tháng” gồm kiểm tra version, update, backup và smoke test là dịch vụ thực tế mà gần 39 triệu site đang cần. Còn nếu bạn tự quản site mình, hãy dành 10 phút hôm nay chạy ba lệnh WP-CLI ở trên. Đừng để site của mình thành một con số thống kê trong báo cáo tiếp theo.
