Tháng 2/2026, Austin Ginder — người điều hành Anchor Hosting (managing thousands of WordPress sites desde 2014) — nhận thấy một điều bất thường: hàng loạt website khách hàng chạy ổn định nhiều năm bỗng nhiên bị nhiễm malware. Không phải do lỗi hosting, không phải do mật khẩu yếu. Nguyên nhân nằm ở chính những plugin mà khách hàng đang dùng — plugin bị mua lại bởi bad actor, sau đó nhúng mã độc qua kênh update chính thức.
Đây không phải tin đồn. WP Tavern đã phỏng vấn Austin trong podcast #219 (3/6/2026), nơi anh kể chi tiết cuộc điều tra supply chain attack trên WordPress plugin repository. Mình sẽ tóm tắt câu chuyện và hướng dẫn bạn từng bước kiểm tra website trong bài viết này.
Tấn công supply chain plugin WordPress là gì?
Supply chain attack là kiểu tấn công nhắm vào chuỗi cung ứng phần mềm thay vì tấn công trực tiếp website. Trong ngữ cảnh WordPress, kẻ tấn công không phá vỡ mã bảo mật của site bạn — chúng chèn mã độc vào chính plugin mà bạn tự tin cài đặt và cập nhật từ wordpress.org.
Có hai cách chính mà bad actor thực hiện: chiếm đoạt tài khoản plugin author (credential breach) rồi đẩy code độc lên repo, hoặc thậm chí mua lại công ty sở hữu plugin với giá 6 con số rồi weaponize plugin đó. Cách thứ hai nghe điên rồ nhưng nó đang thực sự xảy ra.
Bad actor thao túng plugin update như thế nào?
Thủ thuật phổ biến nhất mà kẻ tấn công dùng là chèn third-party updater vào plugin. Bình thường, plugin nhận update từ wordpress.org. Nhưng sau khi bị thao túng, plugin sẽ kiểm tra và tải update từ server của kẻ tấn công thay vì wordpress.org. Bạn vẫn thấy thông báo “update available”, vẫn bấm Update bình thường, nhưng code bạn nhận được đã bị thay thế.
Điểm nguy hiểm nhất: một khi plugin đã chuyển sang kênh update bên ngoài, wordpress.org hoàn toàn mất khả năng giám sát. Hệ thống repo của WordPress không theo dõi được plugin đang phân phối phiên bản nào cho user. Bạn — người dùng — không hề hay biết mình đang chạy phiên bản đã bị chỉnh sửa.
Làm sao để kiểm tra plugin WordPress có bị nhúng mã độc không?
Bạn có thể kiểm tra manually bằng WP-CLI. Mình sẽ hướng dẫn từng bước. Lưu ý: các lệnh này cần chạy trên server, bạn SSH vào host rồi thực hiện.
Bước 1: Liệt kê tất cả plugin đang kích hoạt
sudo -u www-data wp plugin list --path=/var/www/example.com/public_html --status=active --format=tableBạn sẽ thấy danh sách plugin tên, phiên bản, và trạng thái. Hãy lưu ý các plugin có phiên bản cũ hoặc không cập nhật lâu ngày — đây là mục tiêu ưu tiên để kiểm tra.
Bước 2: Kiểm tra nguồn update của từng plugin
Đây là bước quan trọng nhất. Plugin bình thường chỉ update từ wordpress.org. Nếu plugin có cơ chế update riêng (third-party updater), đó là dấu hiệu cảnh báo.
cd /var/www/example.com/public_html/wp-content/plugins/
# Tìm third-party update endpoint trong code plugin
grep -rn "update_plugins\|wp_update_themes\|pre_set_site_transient_update_plugins\|external-update\|auto_update\|updater\.php\|licensing\|license\.php" . --include="*.php" | head -50Lưu ý: đừng bỏ qua bước này. Nhiều bạn chỉ scan malware mà quên kiểm tra nguồn update. Third-party updater là cách phổ biến nhất mà bad actor dùng để hijack plugin.
Bước 3: Verify plugin file checksum
Nếu plugin đến từ wordpress.org, bạn có thể so sánh checksum với repo chính thức:
# Verify plugin checksum against wordpress.org
sudo -u www-data wp plugin verify-checksums --path=/var/www/example.com/public_html --all
# Hoặc kiểm tra từng plugin cụ thể
sudo -u www-data wp plugin verify-checksums contact-form-7 --path=/var/www/example.com/public_htmlNếu có file nào không khớp, WP-CLI sẽ báo warning. File không khớp có nghĩa là plugin đã bị sửa đổi sau khi cài đặt — có thể là update từ nguồn không chính thức.
Bước 4: Scan backdoor và malicious code
# Tìm các function thường dùng trong backdoor
grep -rn "eval(\|base64_decode(\|str_rot13(\|gzinflate(\|gzuncompress(\|assert(\|preg_replace.*\/e" . --include="*.php"
# Tìm file không nên có trong thư mục plugin
find . -name "*.php" -newer ./readme.txt -mtime -30
# Tìm kết nối ra ngoài (external callback)
grep -rn "curl_exec\|file_get_contents.*http\|wp_remote_get\|wp_remote_post" . --include="*.php" | grep -v "api.wordpress.org"Những plugin nào đã bị phát hiện compromised?
Theo investigation của Austin Ginder, ít nhất 4 plugin trên wordpress.org đã bị supply chain attack với cùng pattern: plugin bị mua lại, chèn third-party updater, sau đó phân phối mã độc qua kênh update riêng. Austin phát hiện ra điều này nhờ dùng Claude Code để phân tích hàng gigabyte SVN data từ wordpress.org — điều mà con người không thể làm manually với 60.000+ plugin.
Austin đã tạo WP Beacon Project (wpbeacon.org) — một resource theo dõi, ghi lại, và cảnh báo cộng đồng WordPress về các vụ supply chain attack đã biết. Đây là nơi bạn nên kiểm tra định kỳ để xem plugin mình đang dùng có trong danh sách bị ảnh hưởng hay không.
6 bước bảo vệ website WordPress khỏi supply chain attack
Bước 1: Tắt auto-update plugin — chỉ update manual
Mặc định WordPress 5.6+ cho phép bật auto-update plugin. Mặc dù tiện, nhưng auto-update nghĩa là bạn đang tin tưởng hoàn toàn vào plugin author. Trong bối cảnh supply chain attack đang xảy ra, mình khuyên tắt auto-update và review thủ công trước khi update.
# Tắt auto-update cho tất cả plugin
sudo -u www-data wp plugin auto-updates disable --all --path=/var/www/example.com/public_html
# Hoặc tắt từng plugin cụ thể
sudo -u www-data wp plugin auto-updates disable contact-form-7 --path=/var/www/example.com/public_htmlBước 2: Kiểm tra lịch sử thay đổi của plugin trước khi update
Trước khi bấm Update, hãy kiểm tra plugin page trên wordpress.org. Xem tab “Advanced View” -> “Previous Versions” để review SVN changelog. Nếu plugin vừa đổi owner, hoặc có đợt update lớn bất thường sau thời gian dài im hơi lặng tiếng — hãy cẩn thận.
Dấu hiệu cảnh báo:
- Plugin đổi chủ sở hữu (check “Last Updated” date và changelog)
- Phiên bản mới thêm file updater.php hoặc licensing.php
- Plugin thêm external HTTP request không giải thích rõ
- Review trên wordpress.org đột nhiên có nhiều báo cáo 1 sao về malware
Bước 3: Cài đặt security scanner chuyên sâu
Wordfence và Patchstack là hai scanner phổ biến nhất. Mình khuyên dùng cả hai — Wordfence cho real-time protection, Patchstack cho vulnerability database cập nhật nhanh hơn.
# Cài Wordfence CLI (nếu chưa có)
sudo -u www-data wp plugin install wordfence --activate --path=/var/www/example.com/public_html
# Cài Patchstack
sudo -u www-data wp plugin install patchstack --activate --path=/var/www/example.com/public_htmlBước 4: Giới hạn quyền PHP execution trong thư mục plugin
Nếu dùng Nginx, bạn có thể chặn PHP execution trong thư mục upload (nơi malware thường được giấu), nhưng không thể chặn trong plugin folder vì plugin cần chạy PHP. Thay vào đó, hãy restrict file write permission:
# Đảm bảo plugin files chỉ writable bởi owner
find /var/www/example.com/public_html/wp-content/plugins/ -type d -exec chmod 755 {} \;
find /var/www/example.com/public_html/wp-content/plugins/ -type f -exec chmod 644 {} \;
# Chown đúng cho www-data
chown -R www-data:www-data /var/www/example.com/public_html/wp-content/plugins/Bước 5: Monitor file change thường xuyên
Sau khi đã audit xong, bạn cần theo dõi liên tục. Bất kỳ file nào thay đổi mà không phải do update có chủ ý đều đáng nghi.
# Tạo snapshot hash của tất cả plugin files
find /var/www/example.com/public_html/wp-content/plugins/ -type f -name "*.php" -exec sha256sum {} \; > /root/plugin-hash-baseline.txt
# Chạy định kỳ (crontab hàng ngày) để check thay đổi
0 3 * * * find /var/www/example.com/public_html/wp-content/plugins/ -type f -name "*.php" -exec sha256sum {} \; > /tmp/plugin-hash-current.txt && diff /root/plugin-hash-baseline.txt /tmp/plugin-hash-current.txt | mail -s "WordPress Plugin File Change Alert" [email protected]Bước 6: Sử dụng managed hosting có malware scanning
Nếu bạn không có thời gian monitor manually, hãy chọn hosting có built-in malware scanning ở server level. Kinsta, WP Engine, Cloudways đều có tính năng này. Hosting-level scan phát hiện malware nhanh hơn plugin-based scan vì nó chạy bên ngoài WordPress — malware không thể tắt nó được.
Cài đặt auto-update plugin WordPress có an toàn không?
Trước vụ supply chain attack này, mình vẫn khuyên khách hàng bật auto-update cho plugin vì lợi ích bảo mật (patch vulnerability nhanh) lớn hơn rủi ro. Nhưng bối cảnh đã thay đổi. Khi bad actor có thể mua plugin company và đẩy mã độc qua kênh chính thức, auto-update trở thành con dao hai lưỡi.
Chiến lược mình đề nghị: bật auto-update chỉ cho plugin lớn từ team uy tín (Yoast, Contact Form 7, WooCommerce core). Tắt auto-update cho plugin nhỏ, plugin ít người dùng, hoặc plugin vừa đổi owner. Review manual trước khi update những plugin còn lại.
Troubleshooting: Lỗi thường gặp khi audit plugin
Lỗi 1: WP-CLI verify-checksums báo “Plugin not found in repository”
Nguyên nhân: plugin không còn trên wordpress.org (đã bị gỡ) hoặc là premium plugin cài manual. Nếu plugin đã bị gỡ khỏi repo, đây là dấu hiệu cảnh báo rất lớn. Hãy tìm plugin thay thế ngay.
Lỗi 2: grep tìm base64_decode trả về hàng trăm kết quả
Không phải lúc nào base64_decode cũng là mã độc — nhiều plugin hợp lệ dùng nó để encode/decode data. Hãy xem context: nếu base64_decode nằm cạnh eval() hoặc preg_replace với /e modifier, đó mới đáng nghi. Nếu chỉ dùng để decode API response, bình thường.
Lỗi 3: File permission không đổi được (Operation not permitted)
Chạy lệnh chown/chmod với sudo hoặc root. Nếu vẫn không được, kiểm tra xem filesystem có mounted read-only không, hoặc có SELinux/AppArmor đang chặn.
# Kiểm tra SELinux status
sestatus
# Kiểm tra AppArmor
sudo apparmor_statusLỗi 4: WP-CLI chạy chậm hoặc timeout khi verify-checksums
Plugin càng nhiều, verify càng chậm. Nếu server yếu, hãy chạy từng plugin thay vì –all. Hoặc tăng PHP memory limit tạm thời:
php -d memory_limit=512M "$(which wp)" plugin verify-checksums --all --path=/var/www/example.com/public_htmlSupply chain attack là dạng tấn công nguy hiểm nhất mà hệ sinh thái WordPress đối mặt trong năm 2026. Khác với lỗ hổng bảo mật thông thường — nơi bạn chỉ cần update plugin là xong — supply chain attack đánh vào chính cơ chế update. Khi plugin author là kẻ tấn công, update không giải cứu bạn mà còn làm tình hình tệ hơn.
Mình sẽ tiếp tục theo dõi WP Beacon Project và cập nhật khi có thông tin mới. Nếu bạn phát hiện plugin nào bất thường trên site của mình, đừng ngại chia sẻ xuống phần bình luận để cộng đồng cùng kiểm tra. Nhiều bạn phát hiện sớm hơn, ít site bị hại hơn.
Nếu muốn tìm hiểu thêm về bảo mật WordPress, bạn có thể đọc thêm các bài viết mà mình đã viết trước đây: lỗ hổng Gravity SMTP lộ API keys trên 100.000 site, lỗ hổng MCP AI Engine cho phép chiếm quyền admin, hoặc 7 bước chặn bot AI làm quá tải server WordPress.
