WordPress 7.1.1 sửa những lỗ hổng bảo mật nào?
Ngày 17/9/2026, WordPress chính thức phát hành bản cập nhật 7.1.1 với 11 bản vá bảo mật, 17 lỗi Core và 19 lỗi Block Editor được khắc phục. Đáng chú ý nhất là lỗi stored XSS nằm ngay trong hàm wpautop() cho phép khách viếng thăm chưa đăng nhập chèn script vào comment, và một lỗ hổng cho phép URL được tinh chỉnh cài đặt cả theme chưa kích hoạt từ WordPress.org. Đây là bản cập nhật khẩn, bạn nên nâng cấp ngay trong hôm nay.
Vì sao lần này mình cập nhật luôn chứ không chờ?
Mình có thói quen chờ vài ngày trước khi cập nhật để tránh xung đột plugin. Nhưng lần này thì khác: trong 11 lỗi được vá, có tới 3 lỗi liên quan trực tiếp tới quyền ghi đè bài viết và rò rỉ dữ liệu. Kẻ tấn công chỉ cần một tài khoản Contributor là có thể ghi đè bài tùy ý, hoặc dùng XML-RPC để đăng bài bypass quyền chỉnh sửa CSS. Nếu site bạn mở đăng ký thành viên, mức độ rủi ro là thực tế, không phải lý thuyết.
Danh sách các lỗi đáng chú ý nhất theo mình:
- Stored XSS qua
wpautop(): khách chưa đăng nhập chèn script qua comment (cần comment được duyệt). - Cài theme qua URL đặc biệt: URL được crafted có thể tự cài và xem trước theme chưa active từ WordPress.org.
- Path Traversal trong REST Templates Controller: người đã đăng nhập có thể đọc file ngoài vùng cho phép.
- Ghi đè bài viết tùy ý từ tài khoản Contributor trở lên.
- Rò rỉ tiêu đề bài nháp qua slug disclosure.
Cách cập nhật an toàn từng bước bằng WP-CLI là gì?
Cách nhanh và kiểm soát nhất là dùng WP-CLI qua SSH. Bạn đăng nhập vào server rồi chạy lần lượt từng lệnh, đừng gộp tất cả một dòng để dễ xử lý khi có lỗi.
Bước 1: Backup database trước khi làm bất cứ điều gì:
cd /var/www/thienlv.com/public_html
wp db export backup-$(date +%F).sqlBước 2: Kiểm tra phiên bản hiện tại và trạng thái plugin:
wp core version
wp plugin list --update=availableBước 3: Cập nhật core lên 7.1.1:
wp core update
wp core update-dbBước 4: Kiểm tra lại site sau khi cập nhật:
wp core verify-checksums
wp cache flushNếu bạn dùng shared hosting không có SSH thì đơn giản hơn: vào Dashboard, mục Updates, bấm Update Now. Site nào đã bật auto-update cho minor versions thì có khi đã tự cập nhật xong rồi, bạn chỉ cần vào kiểm tra phiên bản thôi.
Ba việc nên làm ngay sau khi cập nhật là gì?
Cập nhật xong chưa phải là xong việc. Mình luôn thực hiện ba bước dọn dẹp này cho mọi site sau một bản vá bảo mật lớn, vì chúng khóa luôn các cánh cửa mà bản cập nhật chưa nhắc tới.
Thứ nhất, tắt XML-RPC nếu bạn không dùng Jetpack hay app di động. Lỗi lần này cho thấy XML-RPC vẫn là vectơ tấn công bị khai thác liên tục:
# Chặn XML-RPC ở cấp Nginx
location = /xmlrpc.php { deny all; return 403; }Thứ hai, giới hạn quyền Contributor nếu site có mở đăng ký. Kiểm tra xem có tài khoản lạ nào vừa được tạo trong 30 ngày không:
wp user list --role=contributor --fields=ID,user_login,user_registeredThứ ba, rà nhanh log truy cập để xem có dấu hiệu khai thác trước khi bạn kịp vá. Tìm các request dò tới xmlrpc.php và wp-login.php với tần suất bất thường:
grep "xmlrpc.php" /var/log/nginx/access.log | awk '{print $1}' | sort | uniq -c | sort -rn | headBản 7.2 sẽ có gì và nên chuẩn bị ra sao?
Theo lộ trình công bố, WordPress 7.2 dự kiến ra mắt vào tháng 12/2026, tức là chu kỳ release ngắn như hiện tại vẫn được duy trì. Trong giai đoạn chờ đợi, việc tốt nhất bạn có thể làm là giữ plugin và theme luôn ở phiên bản mới, bật auto-update cho security releases, và duy trì lịch backup định kỳ. An ninh website không phải một lần cập nhật là xong, nó là thói quen hàng tuần.
Mình sẽ tiếp tục theo dõi diễn biến sau bản vá này và chia sẻ thêm nếu có thông tin đáng chú ý. Nếu bạn gặp lỗi trắng trang hay xung đột plugin sau khi cập nhật 7.1.1, hãy thử tắt hết plugin rồi bật lại từng cái, hoặc dùng lệnh wp plugin list để soi thủ phạm.
