Wordfence vừa công bố báo cáo Bug Bounty tháng 6/2026 với 1.066 lỗ hổng được gửi về từ 306 nhà nghiên cứu, tổng thưởng 42.553 USD. Đáng chú ý nhất trong danh sách là lỗ hổng Authentication Bypass chưa xác thực trong plugin UpdraftPlus — plugin backup và migrate phổ biến nhất nhì hệ sinh thái WordPress với khoảng 4 triệu cài đặt. Nếu bạn đang chạy UpdraftPlus bản free 1.26.4 trở xuống hoặc bản premium dưới 2.26.5 thì bài này là checklist bắt buộc: kiểm tra phiên bản, vá ngay, rồi đối chiếu log để chắc chắn chưa bị khai thác.
Lỗ hổng UpdraftPlus này nguy hiểm như thế nào?
Rất nguy hiểm, vì nó cho phép kẻ tấn công bỏ qua bước xác thực mà không cần tài khoản nào trên site của bạn. Lỗi nằm ở giao thức udrpc dùng cho tính năng UpdraftCentral — cho phép điều khiển từ xa nhiều website từ một bảng điều khiển duy nhất. Khi lớp xác thực của kênh liên lạc này bị bypass, kẻ tấn công có thể tự xưng là máy chủ điều khiển hợp lệ và gửi lệnh tới website nạn nhân.
Với một plugin backup, quyền này gần như đồng nghĩa toàn quyền: xem và tải bản backup chứa toàn bộ database, config, thậm chí khôi phục backup độc hại. Từ đó leo thang lên RCE là kịch bản hoàn toàn khả thi. Wordfence trả thưởng 5.200 USD cho phát hiện này — mức cao nhất tháng, cho thấy mức độ nghiêm trọng.
Làm sao kiểm tra website có đang bị ảnh hưởng?
Bạn chỉ cần hai phút với WP-CLI. Chạy lệnh dưới đây để xem phiên bản UpdraftPlus đang kích hoạt trên từng site, sau đó so với ngưỡng chịu ảnh hưởng: bản free từ 1.26.4 trở xuống hoặc bản premium dưới 2.26.5 đều phải xử lý ngay.
sudo -u www-data wp plugin list --status=active --fields=name,version,update_version --path=/var/www/example.com/public_html | grep updraft
sudo -u www-data wp plugin get updraftplus --field=version --path=/var/www/example.com/public_htmlNếu bạn quản lý nhiều website, xuất toàn bộ danh sách plugin ra CSV rồi lọc bằng grep thay vì vào từng trang quản trị một:
sudo -u www-data wp plugin list --status=active --format=csv --path=/var/www/example.com/public_html | grep -i updraftNgoài ra, vào trang plugin trên wordpress.org xem cột “Last Updated” — bản vá thường được đẩy trong vài ngày sau khi responsable disclosure kết thúc.
Cách cập nhật và vá nhanh nhất là gì?
Cách nhanh nhất vẫn là wp plugin update qua WP-CLI, kèm backup trước đó. Mình luôn theo nguyên tắc: backup database và thư mục wp-content trước khi chạm vào plugin backup — nghe hơi ngược đời nhưng rất cần, vì chính UpdraftPlus đang là thứ bị lỗi.
# Backup nhanh bằng mysqldump
mysqldump -u root -p dbname | gzip > /root/dbname_$(date +%F).sql.gz
tar -czf /root/wp-content_$(date +%F).tar.gz /var/www/example.com/public_html/wp-content
# Cập nhật plugin
sudo -u www-data wp plugin update updraftplus --path=/var/www/example.com/public_html
# Xác nhận phiên bản mới
sudo -u www-data wp plugin get updraftplus --field=version --path=/var/www/example.com/public_htmlSau khi vá, vào Settings của UpdraftPlus tắt tính năng UpdraftCentral nếu bạn không dùng đến nó. Mỗi kết nối từ xa còn mở là một cửa sổ tấn công tương tự trong tương lai.
Làm sao phát hiện dấu hiệu đã bị khai thác trong log?
Tìm các request bất thường nhắm vào endpoint AJAX và kết nối udrpc của UpdraftPlus. Lưu ý khoảng thời gian trước ngày vá — nếu thấy dấu hiệu dưới đây, hãy coi như đã bị xâm nhập và xử lý theo quy trình sự cố đầy đủ.
# Request nhắm vào UpdraftPlus trên Nginx/Apache access log
grep -iE "updraft" /var/log/nginx/access.log | grep -vE "GET /wp-content/plugins/updraftplus/(js|css|images)"
# Đặc biệt chú ý POST request
grep -iE "admin-ajax|admin-post" /var/log/nginx/access.log | grep -i updraft | grep POST
# Check file backup lạ bị tải về
grep -iE "\.(sql|gz|zip)\.(crypt)?$" /var/log/nginx/access.logĐồng thời kiểm tra thư mục backup: file mới xuất hiện mà bạn không chủ động tạo, hoặc file backup bị đổi tên thành chuỗi ngẫu nhiên, đều là tín hiệu xấu. Chi tiết quy trình phản ứng khi phát hiện webshell hoặc dấu hiệu xâm nhập, mình đã viết hướng dẫn đối chiếu log và phản ứng A-Z trong chuỗi bài trước — bạn áp dụng nguyên quy trình bốn bước đó.
Cách ngăn chặn các lỗi tương tự trong tương lai?
Theo báo cáo của Wordfence, tháng 6/2026 có tới 58 lỗ hổng nhóm High Threat — tăng 65 phần trăm so với tháng trước. Xu hướng rất rõ: kẻ tấn công khai thác nhanh hơn, nên việc vá phải thành thói quen định kỳ chứ không đợi có tin tức. Mình duy trì lịch thứ Sáu hàng tuần, 30 phút cho toàn bộ danh sách site.
Ba lớp phòng thủ mình luôn khuyên: cập nhật tự động cho plugin quan trọng, chặn trực tiếp các endpoint không dùng bằng Nginx, và đặt WAF. Với UpdraftPlus, nếu không cần UpdraftCentral thì chặn luôn:
location ~* ^/wp-admin/admin-ajax\.php$ {
if ($args ~* "action=updraft_(remote|central)") {
return 403;
}
try_files $uri $uri/ /index.php?$args;
}Để hiểu cách rà soát hàng loạt plugin với Wordfence Intelligence API bằng WP-CLI, bạn đọc lại bài quy trình ra soát 30 phút cho 358 lỗ hổng mỗi tuần — cách làm áp dụng nguyên vẹn cho lần này.
Bài học rút ra cho người quản trị website?
Plugin backup là plugin có quyền cao nhất trên website của bạn — nó chạm vào toàn bộ database và file. Đó là lý do nó luôn nằm trong danh sách mục tiêu hàng đầu của kẻ tấn công, tương tự các lỗi authentication bypass khác trong báo cáo tháng 6 như WPMU DEV Dashboard hay Newfold. Cách xếp hạng severity của Wordfence cho thấy: unauthenticated auth bypass luôn là nhóm được thưởng cao nhất, vì nó dễ tự động hóa hàng loạt.
Theo góc nhìn của mình, có hai điều đáng nhớ. Thứ nhất, đừng tin “plugin phổ biến thì an toàn” — 4 triệu cài đặt nghĩa là 4 triệu mục tiêu tiềm năng cho kẻ tấn công quét hàng loạt. Thứ hai, tính năng điều khiển từ xa như UpdraftCentral là con dao hai lưỡi: tiện cho bạn nhưng cũng tiện cho kẻ tấn công nếu lõi xác thực bị lỗi. Tắt mọi tính năng từ xa không dùng đến, và biến việc kiểm tra phiên bản plugin thành thói quen tuần — đó là bước phòng thủ rẻ nhất và hiệu quả nhất bạn có thể làm ngay hôm nay. Còn trước khi cài một plugin mới vào site, hãy rà soát nó trước bằng Plugin Check theo hướng dẫn A-Z mình đã chia sẻ trước đây.
