Tổng hợp bài viết được gắn thẻ “wordpress”.
Trong tuần qua, Wordfence ghi nhận 270 lỗ hổng trong 184 Plugins và 15 Themes WordPress. Wordfence đã triển khai bảo vệ mới cho 232 lỗ hổng đã được vá và 38 lỗ hổng chưa được vá. Các lỗ hổng được phân loại theo mức độ nghiêm trọng, với 69 lỗ hổng có mức độ cao và 7 lỗ hổng có mức độ cực kỳ nghiêm trọng.
Cisco Talos đã phát hiện hai lỗ hổng远程代码执行（RCE）漏洞影响所有自5.4版本以来的PHP构建，可能影响大量运行PHP的应用程序。安全团队正积极应对这些漏洞的利用尝试。
PHP phát hành bản vá khẩn cấp cho hai lỗ hổng nghiêm trọng, cho phép kẻ tấn công chiếm quyền kiểm soát máy chủ. Nearly 70% trang web cần cập nhật để tránh rủi ro. Các chuyên gia cảnh báo đã có các exploit hoạt động trong thực tế.
Cisco Talos đã phát hiện hai lỗ hổng RCE không cần xác thực trong PHP core, có thể bị khai thác trước khi mã ứng dụng chạy. Lỗ hổng này ảnh hưởng đến tất cả các phiên bản PHP từ 5.4 trở lên. Cisco đã phát hành các quy tắc SNORT để bảo vệ khách hàng.
Cloudflare đã triển khai bảo vệ cho khách hàng của mình chống lỗ hổng php2shell, một lỗ hổng có thể cho phép tin tặc thực thi mã độc từ xa và truy xuất dữ liệu nhạy cảm. Lỗ hổng này ảnh hưởng đến PHP 5.4 trở lên và đã được phát hiện bởi Calif.io, Wiz, OpenAI và Quarkslab.
Hai lỗ hổng nghiêm trọng về thực thi mã từ xa trong động cơ PHP, được gọi là "PHP2Shell" (CVE-2026-109618 và CVE-2026-109619), đang bị khai thác sau khi thông tin kỹ thuật được công bố trước khi PHP phát hành bản vá bảo mật vào ngày 21 tháng 10 năm 2026. Các website sử dụng phiên bản PHP cũ có thể bị ảnh hưởng, bao gồm những trang được xây dựng trên WordPress, Drupal và Joomla.
Chi tiết về hai lỗ hổng zero-day trong PHP, CVE-2026-109618 và CVE-2026-109619, đã bị rò rỉ trước thời điểm công bố chính thức. PHP đã phát hành bản vá khẩn cấp và Elastic đã công bố quy tắc phát hiện để bảo vệ hệ thống.
