Mình vừa đọc báo cáo an ninh mới nhất thì thấy một lỗ hổng nặng ở mức gần tuyệt đối: plugin Everest Forms đang khiến hơn 100.000 website WordPress bị phơi nhiễm trước nguy cơ bị chiếm quyền kiểm soát hoàn toàn. Lỗi này có mã CVE-2026-19598, điểm CVSS 9.8/10, và tệ hơn nữa là kẻ tấn công không cần tài khoản gì cả — chỉ cần gửi request lên form của bạn là có thể upload webshell lên server.
Nếu site bạn đang chạy Everest Forms (hoặc theme/plugin nào tích hợp nó), bạn dừng việc khác lại và xử lý cái này trước. Trong bài này mình sẽ đi từ kiểm tra phiên bản, nâng cấp, cho đến rà soát dấu vết bị khai thác — từng bước một, không bỏ sót.
Lỗ hổng Everest Forms CVE-2026-19598 là gì và nghiêm trọng ra sao?
Đây là lỗi arbitrary file upload nằm trong class EVF_Form_Fields_Upload — chính là phần code xử lý file đính kèm mà người dùng gửi qua form liên hệ. Kẻ tấn công khai thác bằng cách gửi request độc hại vào tính năng upload, nhét file PHP webshell lên server mà không cần đăng nhập. Từ đó, chúng chạy code tùy ý, lấy toàn quyền admin, chèn mã độc vào website của bạn. Lỗi ảnh hưởng mọi phiên bản Everest Forms trước 3.0.9.5, điểm CVSS 9.8 — nghĩa là gần như “đèn đỏ” tuyệt đối.
Cách kiểm tra website có đang dùng Everest Forms không?
Bạn kiểm tra theo 2 cách, chọn cái tiện cho mình:
Cách 1 — Trong wp-admin: Vào Plugins → Installed Plugins, tìm dòng “Everest Forms”. Cột Version sẽ hiển thị phiên bản đang chạy. Nếu dưới 3.0.9.5 là bạn nằm trong vùng nguy hiểm.
Cách 2 — Dòng lệnh WP-CLI (nhanh hơn nếu bạn quản lý nhiều site):
wp plugin list --status=active | grep everest-forms
wp plugin get everest-forms --field=versionLưu ý: cả bản miễn phí lẫn Everest Forms Pro đều cần kiểm tra, vì tính năng upload file có mặt ở cả hai bản. Nếu bạn dùng theme hay addon nào của WPEverest (như Everest Form Builder), cũng rà luôn kẻo sót.
Cách cập nhật Everest Forms an toàn trong 3 bước?
Bạn làm theo 3 bước sau là xong:
Bước 1 — Backup trước khi thay đổi bất cứ thứ gì. Mình khuyên dùng UpdraftPlus hoặc backup cấp file ở hosting. Nhiều bạn chủ quan bỏ qua bước này, rồi update xong form lỗi layout mới cuống cuồng tìm bản cũ.
Bước 2 — Cập nhật lên 3.0.9.5 trở lên. Vào Plugins, bấm “Update now” cho Everest Forms. Nếu bạn ngại tự update bản security, nhà phát hành chỉ vá phần xử lý upload chứ không đổi gì lớn về giao diện. Bằng WP-CLI:
wp plugin update everest-formsBước 3 — Kiểm tra lại form sau update. Mở một form có trường upload file, tự gửi thử một file đính kèm xem còn hoạt động bình thường không. Nếu form của bạn không cần upload file thì tốt nhất hãy tắt luôn trường đó — giảm bề mặt tấn công gần như hoàn toàn.
Lưu ý: đừng chỉ update rồi thôi. Sau bản vá nguy cấp kiểu này, hãy bật auto-update cho plugin: Plugins → Everest Forms → Automatic Updates → Enable.
Làm sao biết website đã bị khai thác trước khi vá?
Đây là bước nhiều hướng dẫn bỏ qua, nhưng mình thấy quan trọng ngang việc vá. Vì lỗi đã tồn tại từ trước, khả năng bot đã quét và khai thác site bạn trước cả khi bạn đọc bài này. Bạn rà soát 4 điểm sau:
1. Tìm file PHP lạ trong thư mục uploads:
find wp-content/uploads -name "*.php" -mtime -30
grep -rl "eval(base64_decode" wp-content/uploads/ | head -20File PHP xuất hiện trong uploads gần như luôn là dấu hiệu xấu — thư mục này vốn chỉ chứa ảnh và file đính kèm.
2. Kiểm tra user admin bất thường:
wp user list --role=administratorNhìn kỹ từng tài khoản. Có tài khoản lạ hoặc ngày tạo gần đây mà bạn không biết? Xóa và đổi mật khẩu tất cả admin ngay.
3. Đổi toàn bộ secret key trong wp-config.php (truy cập link API của WordPress.org để lấy bộ key mới). Vụ này đăng xuất mọi session đang tồn tại, kể cả session của kẻ tấn công.
4. Xem access log. Tìm các POST request dò quét đường dẫn wp-admin/admin-ajax.php hoặc endpoint everest-forms với tần suất bất thường từ một IP. Nếu thấy, coi như site từng bị dò — hãy quét malware bằng Wordfence scan và cân nhắc cài lại từ bản backup sạch.
Cách phòng tránh lỗ hổng plugin dạng này về lâu dài?
Mỗi năm có vài chục CVE kiểu “form plugin cho upload file tùy ý” — Contact Form 7, WPForms, giờ đến Everest Forms. Thay vì chạy theo từng bản vá, mình làm 4 việc sau cho toàn bộ site mình quản lý:
Một, chặn chạy PHP trong uploads. Với Nginx, thêm vào server block:
location ~* /uploads/.*\.php$ { deny all; }Việc này vô hiệu hóa webshell ngay cả khi kẻ tấn công upload được file lên — lớp phòng thủ rẻ nhất mà hiệu quả nhất mà mình biết.
Hai, bật virtual patching bằng Patchstack hoặc Wordfence Firewall, giống như mình đã chia sẻ trong bài về FlyWP tích hợp Patchstack virtual patching — nó chặn request khai thác trước cả khi bạn kịp update.
Ba, gỡ plugin form không dùng. Mỗi plugin form nằm im đó là một cửa ngõ tiềm năng. Site nào mình không nhận file đính kèm thì không cài plugin nào có tính năng upload cả.
Bốn, theo dõi bulletin security hàng tuần, ví dụ báo cáo của Wordfence — mỗi tuần họ ghi nhận 200-300 lỗ hổng mới trong plugin WordPress, và biết sớm 1 ngày đôi khi là cả một vị thế an toàn.
Kết luận: việc gì cần làm ngay hôm nay?
Tóm gọn lại cho bạn: (1) kiểm tra phiên bản Everest Forms trên toàn bộ site mình quản lý, (2) cập nhật lên 3.0.9.5+ nếu còn dưới, (3) tắt trường upload file nếu không cần, (4) rà file PHP lạ trong uploads và danh sách admin. Nếu site đã có dấu hiệu bị dò, quét malware và đổi toàn bộ key. Lỗ hổng unauthenticated CVSS 9.8 luôn nằm trong top ưu tiên — bot tự động quét không chờ ai cả. Và khi bạn đã quen với quy trình “kiểm tra — vá — rà soát” như trên, lần sau gặp CVE nào nữa bạn cũng chỉ mất vài phút thay vì vài giờ lo lắng.
