Phân tích lỗ hổng wp2shell WordPress cho phép chạy mã từ xa 2026

Giới thiệu về lỗ hổng wp2shell WordPress Core 2026

Khi quản trị một VPS chạy WordPress, việc cập nhật bản vá bảo mật luôn là ưu tiên hàng đầu. Năm 2026, một lỗ hổng nghiêm trọng được đặt tên wp2shell đã xuất hiện trong WordPress Core, cho phép kẻ tấn công thực thi mã tùy ý từ xa mà không cần xác thực. Lỗ hổng wp2shell WordPress Core Flaw lets attackers run code 2026, đây là một vấn đề zero-day nguy hiểm, ảnh hưởng đến hàng triệu trang web trên toàn cầu. Bài viết này sẽ phân tích cơ chế hoạt động, tác động thực tế và các bước cụ thể để bảo vệ VPS của bạn.

Yêu cầu trước khi bắt đầu

• Một VPS chạy Ubuntu 24.04 LTS hoặc Debian 12 (có thể dùng VPS Linux từ thueVPS với IPv4 Việt Nam)
• Quyền root hoặc sudo non-root
• WordPress đã được cài đặt (phiên bản trước 6.8.5)
• Kiến thức cơ bản về SSH, PHP và Nginx
• Domain trỏ về VPS (nếu muốn test với HTTPS)

Cơ chế hoạt động của wp2shell

Lỗ hổng wp2shell nằm ở cách WordPress Core xử lý các serialized object trong hàm unserialize() khi tiếp nhận cookie hoặc dữ liệu từ client. Kẻ tấn công gửi một request HTTP đặc biệt với payload chứa serialized PHP object, kích hoạt PHP Object Injection. Khi hàm unserialize() được gọi, nó khởi tạo object tùy ý mà không kiểm tra lớp, dẫn đến việc thực thi mã từ xa qua các gadget chain có sẵn trong WordPress hoặc plugin phổ biến.

Cụ thể, payload khai thác nhắm vào hàm WP_User::get_data_by() và maybe_unserialize() trong file wp-includes/class-wp-user.php. Attackers không cần đăng nhập, chỉ cần gửi một request GET hoặc POST với cookie độc hại là đủ để kích hoạt lỗi.

Hậu quả khi VPS bị khai thác wp2shell

Một khi kẻ tấn công thực thi mã thành công, họ có thể upload webshell, trích xuất cơ sở dữ liệu, thay đổi nội dung trang, hoặc cài malware. Với một VPS thông thường (ví dụ VPS 2GB RAM NVMe), việc này có thể dẫn đến:

• Mất toàn quyền kiểm soát website WordPress
• Dữ liệu người dùng (email, mật khẩu) bị đánh cắp
• VPS bị dùng làm botnet gửi spam hoặc tấn công DDoS
• Blacklist bởi Google, Cloudflare, hoặc các nhà cung cấp email
• Mất uy tín và chi phí khôi phục tốn kém

Trên một VPS giá rẻ nhưng không được bảo vệ, lỗ hổng này có thể biến máy chủ thành công cụ tấn công chỉ trong vài giây.

Phát hiện VPS WordPress đã bị xâm nhập

Trước khi vá lỗi, bạn cần kiểm tra xem VPS đã bị khai thác hay chưa. Chạy các lệnh sau trên terminal với quyền root:

# Kiểm tra file PHP lạ trong thư mục wp-content
find /var/www/html/wp-content -name "*.php" -newer /var/www/html/wp-includes/version.php -type f

# Kiểm tra cron job độc hại
crontab -l
cat /etc/crontab
cat /var/spool/cron/crontabs/*

# Kiểm tra process lạ
ps aux | grep -E 'curl|wget|base64|eval|shell_exec'

# Kiểm tra file .htaccess bị chỉnh sửa
md5sum /var/www/html/.htaccess 2>/dev/null

Nếu thấy file PHP lạ (tên như up.php, shell.php, 1ndex.php) hoặc cron job gọi URL lạ, VPS gần như chắc chắn đã bị khai thác. Lúc này, bạn cần làm sạch thủ công hoặc cài lại OS từ đầu.

Bước 1: Cập nhật WordPress lên phiên bản vá

Bản vá cho lỗ hổng wp2shell đã được phát hành trong WordPress 6.8.5. Cập nhật ngay lập tức:

# Truy cập thư mục WordPress
cd /var/www/html

# Kiểm tra phiên bản hiện tại
wp core version 2>/dev/null || grep '\$wp_version' wp-includes/version.php

# Cập nhật thủ công bằng wp-cli (khuyến nghị)
wp core update --version=6.8.5

# Nếu không có wp-cli, tải bản vá thủ công
cd /tmp
wget https://wordpress.org/wordpress-6.8.5.tar.gz
tar -xzf wordpress-6.8.5.tar.gz
cp -r wordpress/wp-admin wordpress/wp-includes /var/www/html/
rm -rf wordpress wordpress-6.8.5.tar.gz

Xác minh cập nhật thành công:

wp core version
# Output mong đợi: 6.8.5

Bước 2: Vô hiệu hóa PHP unserialize cho WordPress

Bản vá 6.8.5 đã fix hàm maybe_unserialize(), nhưng nếu bạn muốn tăng cường thêm, có thể vô hiệu hóa unserialize cho các request không đáng tin cậy bằng cách thêm vào wp-config.php trước dòng /* That's all, stop editing! */:

// Vô hiệu hóa unserialize từ cookie
add_filter('wp_validate_auth_cookie', function($cookie, $scheme) {
    if (is_string($cookie) && strpos($cookie, 'O:') === 0) {
        return false;
    }
    return $cookie;
}, 10, 2);

Lưu ý: filter này chỉ là lớp bảo vệ bổ sung, không thay thế bản vá chính thức.

Bước 3: Tăng cường bảo mật VPS chống khai thác

Ngoài vá WordPress, bạn cần cấu hình VPS để ngăn chặn hậu quả nếu lỗ hổng tương tự xuất hiện trong tương lai:

3.1. Cấu hình PHP disable_functions

# Mở file php.ini
nano /etc/php/8.3/fpm/php.ini
# Thêm hoặc sửa dòng:
disable_functions = exec, shell_exec, system, passthru, popen, proc_open, pcntl_exec

# Restart PHP-FPM
systemctl restart php8.3-fpm

3.2. Hạn chế quyền ghi cho thư mục WordPress

# Chỉ cho phép ghi vào wp-content/uploads
chown -R root:www-data /var/www/html
find /var/www/html -type d -exec chmod 755 {} \;
find /var/www/html -type f -exec chmod 644 {} \;
chown -R www-data:www-data /var/www/html/wp-content/uploads
chmod 755 /var/www/html/wp-content/uploads

3.3. Chặn request độc hại bằng Nginx

# Thêm vào server block (trong location ~ \.php$)
if ($http_cookie ~* "O:\d+:") {
    return 403;
    break;
}

Kiểm tra cấu hình và reload Nginx:

nginx -t && systemctl reload nginx

Xử lý lỗi thường gặp

Lỗi: WordPress không cập nhật qua wp-cli
Kiểm tra kết nối internet: ping 8.8.8.8. Nếu VPS không ra ngoài được do firewall, mở tạm: ufw allow 80/tcp (nếu dùng ufw). Sau cập nhật xong thì đóng lại.

Lỗi: Trang web bị lỗi trắng sau cập nhật
Bật debug trong wp-config.php: define('WP_DEBUG', true); define('WP_DEBUG_DISPLAY', true);. Xem log lỗi PHP: tail -f /var/log/php8.3-fpm.log. Thường là do plugin/theme không tương thích, disable từng cái qua phpMyAdmin hoặc WP-CLI: wp plugin deactivate --all.

Lỗi: Nginx 403 khi đã chặn cookie
Check syntax của rule Nginx: nginx -t. Nếu rule quá rộng (if ($http_cookie) không kèm pattern), nó chặn toàn bộ request có cookie. Sửa thành if ($http_cookie ~* "O:\d+:") để chỉ chặn serialized object.

Câu hỏi thường gặp

Bài viết liên quan

• Tối ưu PHP-FPM cho WordPress trên VPS
• Tối ưu Nginx cho traffic cao
• Cấu hình UFW firewall trên Ubuntu VPS
• Tăng tốc WordPress với LiteSpeed và LSCache