Tháng 6/2026, cộng đồng WordPress lại dậy sóng khi Wordfence công bố lỗ hổng CVE-2026-8206 trong plugin Kirki — CVSS 9.8 trên thang 10, ảnh hưởng hơn 500.000 website. Lỗi này cho phép hacker chiếm tài khoản admin mà không cần đăng nhập. Nếu bạn đang dùng Kirki, bài viết này mình sẽ hướng dẫn kiểm tra, vá lỗi, và audit bảo mật plugin WordPress toàn diện từ A đến Z.
Lỗ Hổng Kirki Plugin Nghiêm Trọng Như Thế Nào?
Kirki là plugin customizer phổ biến với hơn 500.000 lượt cài đặt, thường dùng kèm các theme WordPress để mở rộng tùy chọn giao diện. Lỗ hổng CVE-2026-8206 (CVSS 9.8) trong phiên bản 6.0.0 đến 6.0.6 cho phép kẻ tấn công đặt lại mật khẩu admin thông qua REST API endpoint bị lỗi logic. Hacker chỉ cần biết username admin, gửi yêu cầu reset password kèm email do hacker kiểm soát, và nhận link reset thay vì chủ tài khoản. Khoảng 150.000 site đang chạy phiên bản bị lỗi.
Tại Sao Plugin Là Điểm Yếu Nhất Của WordPress?
Theo báo cáo Patchstack State of WordPress Security in 2026, năm 2025 ghi nhận 11.334 lỗ hổng mới trong hệ sinh thái WordPress, tăng 42% so với 2024. Plugin chiếm 97% tổng số lỗ hổng. Đáng lo hơn, 52% nhà phát triển plugin không vá lỗi trước khi công bố công khai. Thời gian trung bình từ khi lỗ hổng được công bố đến khi bị khai thác chỉ là 5 giờ. Nghĩa là khi bạn đọc tin về lỗ hổng, hacker có thể đã bắt đầu quét rồi.
Bước 1: Kiểm Tra Website Có Đang Dùng Kirki Không?
Bạn đăng nhập vào server qua SSH, rồi chạy lệnh WP-CLI sau để kiểm tra:
wp plugin list --fields=name,status,version,update --format=table --path=/var/www/yourdomain.com/public_htmlNếu trong danh sách có Kirki và phiên bản từ 6.0.0 đến 6.0.6, website bạn đang bị nguy hiểm. Cập nhật lên 6.0.7 ngay lập tức:
wp plugin update kirki --path=/var/www/yourdomain.com/public_htmlKhi chạy xong, kiểm tra lại phiên bản:
wp plugin get kirki --field=version --path=/var/www/yourdomain.com/public_htmlKết quả phải hiển thị 6.0.7 trở lên. Nếu thấp hơn, bạn chưa cập nhật thành công.
Lưu ý: đừng bỏ qua bước xác nhận phiên bản sau update. Mình gặp nhiều bạn chạy lệnh update xong tưởng xong, nhưng thực ra network timeout nên plugin vẫn cũ.
Bước 2: Liệt Kê Toàn Bộ Plugin Đang Cài Đặt
Sau khi xử lý Kirki, bạn cần audit toàn bộ plugin còn lại. Chạy lệnh:
wp plugin list --format=csv --fields=name,status,version,update,auto_update --path=/var/www/yourdomain.com/public_html > /tmp/plugin-audit.csvLệnh này xuất danh sách plugin ra file CSV để bạn dễ phân tích. Mình thường tải file này về máy tính, mở bằng Google Sheets hoặc Excel.
Bạn cần chú ý 4 nhóm plugin sau:
- Nhóm 1 — Plugin inactive: Vẫn tồn tại file trên server, hacker có thể truy cập. Gỡ hẳn.
- Nhóm 2 — Plugin có bản cập nhật: Cột “update” hiển thị “available”. Cập nhật ngay.
- Nhóm 3 — Plugin không auto-update: Cột “auto_update” hiển thị “off”. Bật auto-update cho plugin quan trọng.
- Nhóm 4 — Plugin không quen thuộc: Có thể là plugin cũ ai đó cài hồi xưa. Kiểm tra nguồn gốc.
Bước 3: Gỡ Plugin Không Dùng Và Plugin Abandoned
Plugin inactive vẫn là mối đe dọa bảo mật. File plugin vẫn nằm trên server, hacker có thể truy cập trực tiếp. Bạn gỡ hẳn plugin không dùng:
# Gỡ hẳn plugin (xóa file)
wp plugin uninstall ten-plugin-khong-dung --deactivate --path=/var/www/yourdomain.com/public_htmlPlugin abandoned là plugin không được cập nhật quá 2 năm. WordPress.org vẫn giữ trên repository nhưng nhà phát triển đã bỏ dự án. Bạn kiểm tra ngày cập nhật cuối bằng cách truy cập trang plugin trên wordpress.org/plugins/, xem mục “Last Updated”.
Nếu plugin quá 2 năm không cập nhật, thay thế bằng plugin tương đương đang được bảo trì. Mình hay tìm replacement trên wordpress.org bằng từ khóa chức năng plugin cũ, lọc theo “Last Updated” trong 6 tháng.
Bước 4: Cập Nhật Tất Cả Plugin, Theme, WordPress Core
Cập nhật là cách bảo mật đơn giản và hiệu quả nhất. Trước khi cập nhật, luôn backup:
# Backup database
wp db export /backup/db-backup-$(date +%Y%m%d).sql --path=/var/www/yourdomain.com/public_html
# Backup toan bo file
tar -czf /backup/site-backup-$(date +%Y%m%d).tar.gz /var/www/yourdomain.com/public_html/Sau khi backup xong, cập nhật toàn bộ:
# Cap nhat WordPress core
wp core update --path=/var/www/yourdomain.com/public_html
# Cap nhat tat ca plugin
wp plugin update --all --path=/var/www/yourdomain.com/public_html
# Cap nhat tat ca theme
wp theme update --all --path=/var/www/yourdomain.com/public_htmlSau khi cập nhật, kiểm tra website có lỗi không bằng cách mở trang chủ, trang bài viết, trang admin. Nếu trắng trang, xem hướng dẫn sửa lỗi trắng trang WordPress.
Lưu ý: nếu bạn dùng hosting shared không có SSH, đăng nhập cPanel, backup qua Backup Wizard, rồi cập nhật plugin qua trang wp-admin/plugins.php.
Bước 5: Cài Đặt Công Cụ Scan Lỗ Hổng Tự Động
Mình khuyên dùng Patchstack plugin (miễn phí) để scan lỗ hổng đã biết. Patchstack duy trì database hơn 64.000 lỗ hổng WordPress, quét tự động mỗi ngày. Cài qua WP-CLI:
wp plugin install patchstack --activate --path=/var/www/yourdomain.com/public_htmlSau khi cài, vào trang Patchstack trong wp-admin, kết nối với tài khoản Patchstack miễn phí. Patchstack sẽ gửi email khi phát hiện plugin bạn đang dùng có lỗ hổng mới.
Ngoài Patchstack, bạn có thể dùng Wordfence Security — plugin bảo mật phổ biến nhất WordPress với 4 triệu lượt cài đặt. Wordfence có tường lửa WAF tích hợp và malware scanner:
wp plugin install wordfence --activate --path=/var/www/yourdomain.com/public_htmlCấu hình Wordfence: bật Basic Firewall, bật Email Alert cho admin khi phát hiện tấn công, thiết lập Rate Limiting cho trang đăng nhập (tối đa 5 lần sai liên tiếp).
Bước 6: Tắt REST API Endpoint Không Cần Thiết
REST API WordPress là cánh cửa mà hacker dùng để khai thác Kirki. WordPress mặc định mở tất cả endpoint. Bạn không cần tắt hoàn toàn — chỉ tắt endpoint nhạy cảm. Thêm đoạn code sau vào file functions.php của child theme:
// Tan REST API endpoint /wp/v2/users (ngan chan user enumeration)
add_filter('rest_endpoints', function($endpoints) {
if (isset($endpoints['/wp/v2/users'])) {
unset($endpoints['/wp/v2/users']);
}
return $endpoints;
});
// Tan REST API endpoint khong can thiet cua plugin
add_filter('rest_endpoints', function($endpoints) {
if (isset($endpoints['/kirki/v1/forgot-password'])) {
unset($endpoints['/kirki/v1/forgot-password']);
}
return $endpoints;
});Đoạn code đầu tiên tắt endpoint /wp/v2/users mà hacker hay dùng để enumerate username admin. Đoạn thứ hai tắt endpoint forgot-password của Kirki (nếu plugin vẫn còn cài để dùng tính năng customizer khác).
Lưu ý: đừng tắt toàn bộ REST API vì nhiều plugin và tính năng WordPress 7.0 phụ thuộc vào nó. Chỉ tắt endpoint cụ thể không dùng.
Bước 7: Bật Auto-Update Cho Plugin Quan Trọng
Từ WordPress 5.6, bạn có thể bật auto-update cho từng plugin. Sau khi audit xong, bật auto-update cho plugin bảo mật quan trọng (Wordfence, Patchstack, SEO plugin) để không bỏ lỡ bản vá:
# Bat auto-update cho 1 plugin
wp plugin auto-updates enable wordfence --path=/var/www/yourdomain.com/public_html
# Bat auto-update cho tat ca plugin
wp plugin auto-updates enable --all --path=/var/www/yourdomain.com/public_htmlMình khuyên bật auto-update cho plugin bảo mật và plugin nhỏ gọn. Với plugin phức tạp (WooCommerce, page builder), cập nhật thủ công sau khi backup để tránh xung đột.
Bước 8: Ẩn Thông Tin Nhạy Cảm Khỏi Hacker
Hacker thu thập thông tin trước khi tấn công. Mặc định WordPress lộ nhiều thông tin: phiên bản WordPress, phiên bản plugin, username admin. Bạn che giấu bằng cách:
Xóa meta generator: Thêm vào functions.php:
// Xoa WordPress version meta tag
remove_action('wp_head', 'wp_generator');
// Xoa version tu RSS feed
add_filter('the_generator', '__return_empty_string');Đổi trang đăng nhập: Dùng plugin WPS Hide Login để đổi /wp-login.php thành URL tùy chỉnh như /quan-tri-website. Hacker quét tự động vào /wp-login.php, đổi URL giảm bot tấn công đáng kể:
wp plugin install wps-hide-login --activate --path=/var/www/yourdomain.com/public_htmlSau khi cài, vào Settings > WPS Hide Login trong wp-admin để cấu hình URL mới.
Checklist Bảo Mật WordPress Plugin Trong 30 Phút
Nếu bạn chỉ có 30 phút, làm 5 việc sau ngay:
- Chạy
wp plugin list— liệt kê toàn bộ plugin đang cài - Cập nhật Kirki lên 6.0.7+ nếu đang dùng (và cập nhật tất cả plugin khác)
- Gỡ plugin inactive và plugin abandoned (không cập nhật quá 2 năm)
- Cài Patchstack hoặc Wordfence để scan lỗ hổng tự động
- Bật auto-update cho plugin bảo mật quan trọng
Năm bước trên xử lý được 90% rủi ro bảo mật plugin phổ biến hiện nay.
Troubleshooting: Lỗi Thường Gặp Khi Audit Plugin
Lỗi: wp plugin update báo “Could not create directory”
Nguyên nhân: quyền file không đúng. Bạn cấp lại quyền cho web server:
sudo chown -R www-data:www-data /var/www/yourdomain.com/public_html/wp-content
sudo find /var/www/yourdomain.com/public_html/wp-content -type d -exec chmod 755 {} \;
sudo find /var/www/yourdomain.com/public_html/wp-content -type f -exec chmod 644 {} \;Lỗi: Website trắng trang sau khi cập nhật plugin
Đây là xung đột plugin. Bạn tắt tất cả plugin, bật lại từng cái để tìm thủ phạm:
# Tat tat ca plugin
wp plugin deactivate --all --path=/var/www/yourdomain.com/public_html
# Bat lai tung plugin, kiem tra sau moi lan
wp plugin activate ten-plugin --path=/var/www/yourdomain.com/public_htmlLỗi: Wordfence báo “This site may have been compromised”
Đừng hoảng. Chạy malware scan đầy đủ trong Wordfence > Scan > Start New Scan. Nếu phát hiện file độc, xóa file, đổi mật khẩu admin và database, kiểm tra user admin bất thường trong database:
# Kiem tra danh sach admin user
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered --path=/var/www/yourdomain.com/public_htmlNếu thấy user lạ, xóa ngay:
wp user delete <ID> --reassign=1 --path=/var/www/yourdomain.com/public_htmlKet Luan
Lỗ hổng Kirki CVSS 9.8 là lời nhắc rõ ràng: bảo mật WordPress plugin không phải việc làm một lần rồi quên. Năm 2025 có 11.334 lỗ hổng mới được phát hiện, trung bình 36 lỗ hổng mỗi ngày. Mình audit plugin hàng tháng, cập nhật ngay khi có bản vá, và luôn có WAF chạy.
Bạn làm theo 8 bước trong bài là đủ an toàn cho phần lớn website. Nếu bạn quản lý site doanh nghiệp lớn hoặc ecommerce, cân nhắc thuê chuyên gia audit bảo mật hàng quý. Chi phí audit chuyên nghiệp khoảng 3-10 triệu đồng, rẻ hơn rất nhiều so với chi phí phục hồi sau khi bị hack.
Nếu bạn gặp lỗi nào trong quá trình audit, để lại comment bên dưới, mình sẽ hướng dẫn xử lý.
