Cảnh báo: Lỗ hổng bảo mật nguy hiểm trong nền tảng Wordpress, hacker có thể lợi dụng để chiếm điều khiển website

Theo phát hiện của các chuyên gia tại công ty an ninh mạng CyStack, một lỗ hổng nguy hiểm đang tồn tại trong trong chức năng xóa bài viết của tất cả các phiên bản Wordpress, một nền tảng xây dựng website phổ biến.

Các hacker có thể lợi dụng việc gửi yêu cầu xóa lỗ hổng để chèn vào các đoạn mã độc và xóa các tập tin trên máy chủ, chiếm quyền điều khiển website.

Cụ thể, khi thực hiện xóa bài, tập tin thumb (thông tin được gửi lên từ biến post trong gói tin HTTP) tương ứng với bài viết đó cũng sẽ bị xóa nếu tồn tại. Do việc xóa tệp tin không thông qua các bước kiểm tra an ninh nên hacker có thể xóa bất cứ tệp tin nào trên thư muc hosting của website bằng cách thay đổi giá trị của biến thumb của bài viết. Điều này có thể gây ra thiệt hại vô cùng lớn cho các website, nếu các dữ liệu không được sao lưu có thể khiến website bị mất dữ liệu vĩnh viễn.

Ngay phiên bản mới nhất của Wordpress là 4.9.6 cũng đang tồn tại lỗ hổng bảo mật này và hiện tại wordpress chưa tung ra bất cứ bản vá nào để khắc phục.

Theo khuyến cáo của các chuyên gia bảo mật, quản trị viên của các trang web cần thực hiện những biện pháp vá nóng cho lỗ hổng để tránh phải trở thành nạn nhân của hacker bằng cách sau:

• Rà soát lại danh sách người dùng và các quản trị viên của website.
• Thực hiện backup toàn bộ dữ liệu của website.
• Áp dụng bản Hotfix đã được các nhà nghiên cứu đưa ra để ngăn chặn việc xóa tệp tin từ người dùng.

Xem thêm:

• 10 lỗi WordPress phổ biến nhất và cách khắc phục
• Cách khắc phục lỗi White Screen of Death trong WordPress
• Hướng dẫn chuyển Blogger thành WordPress không lo mất thứ hạng Google