Tên plugin	Năng lực người dùng đơn giản
Loại lỗ hổng	Tăng đặc quyền
Số CVE	CVE-2025-12158
Tính cấp bách	Phê bình
Ngày xuất bản CVE	2025-11-04
URL nguồn	CVE-2025-12158

Thông báo bảo mật khẩn cấp: Năng lực người dùng đơn giản <= 1.0 — Tăng quyền (CVE-2025-12158) và những gì bạn phải làm ngay bây giờ

Ngày: 2025-11-04
Tác giả: Nhóm Nghiên cứu WP-Firewall

Bản tóm tắt: Một lỗ hổng tăng quyền nghiêm trọng (CVE-2025-12158) ảnh hưởng đến plugin WordPress Năng lực người dùng đơn giản (các phiên bản <= 1.0) đã được công khai. Vấn đề này có thể cho phép người dùng có quyền hạn thấp — trong một số báo cáo thậm chí là những tác nhân không xác thực — có được quyền hạn cao hơn. Bài viết này giải thích rủi ro kỹ thuật, các kịch bản tấn công thực tế, các bước phát hiện an toàn, các biện pháp giảm thiểu ngay lập tức được khuyến nghị, tăng cường lâu dài, và cách mà tường lửa quản lý của chúng tôi có thể bảo vệ trang web của bạn trong khi chờ đợi bản sửa lỗi chính thức.

Tại sao bạn nên đọc bài viết này ngay bây giờ

Chúng tôi đang viết cho mọi chủ sở hữu, nhà phát triển và quản trị viên trang WordPress nào sử dụng plugin Năng lực người dùng đơn giản hoặc điều hành các trang mà người dùng không đáng tin cậy có tài khoản. Lỗ hổng này có điểm CVSS là 9.8 và được phân loại là tăng quyền (các lỗi xác định và xác thực). Khi có sự tăng quyền trên một trang WordPress, một kẻ tấn công thành công có thể tạo ra tài khoản quản trị viên, sửa đổi nội dung, cài đặt backdoor, hoặc kiểm soát hoàn toàn trang web và dữ liệu của nó.

Mục tiêu của chúng tôi là cung cấp cho bạn hướng dẫn rõ ràng, thực tiễn và an toàn mà bạn có thể thực hiện ngay lập tức — cho dù bạn điều hành một blog cá nhân đơn lẻ hay quản lý hàng chục trang của khách hàng.

---

Tóm tắt kỹ thuật (những gì đã biết)

• CVE: CVE-2025-12158
• Phần mềm bị ảnh hưởng: Plugin Năng lực người dùng đơn giản cho WordPress
• Các phiên bản dễ bị tấn công: <= 1.0
• Loại lỗ hổng: Thiếu xác thực dẫn đến tăng quyền (OWASP A7 — Các lỗi xác định và xác thực)
• Mức độ nghiêm trọng đã báo cáo: Cao / CVSS 9.8
• Ngày công khai thông báo: 4 tháng 11 năm 2025
• Tín dụng trong báo cáo công khai: Nhà nghiên cứu được liệt kê là D01EXPLOIT CHÍNH THỨC
• Tình trạng sửa lỗi tại thời điểm công bố: Không có bản sửa lỗi chính thức nào có sẵn tại thời điểm báo cáo

Các chi tiết công khai cho thấy plugin không thực thi kiểm tra xác thực đúng cách khi công khai chức năng thay đổi khả năng hoặc vai trò của người dùng. Do đó, một người dùng có quyền hạn thấp (người đăng ký+) — và trong một số báo cáo có thể thậm chí là những khách truy cập không xác thực — có thể thực hiện các hành động dành riêng cho người dùng cấp cao hơn (biên tập viên, quản trị viên), gây ra sự tăng quyền.

Chúng tôi sẽ không tái tạo mã khai thác hoặc kỹ thuật tấn công từng bước ở đây. Làm như vậy có nguy cơ giúp đỡ kẻ tấn công. Thay vào đó, thông báo này tập trung vào phát hiện an toàn, kiểm soát và khắc phục.

---

Tại sao lỗ hổng này lại nguy hiểm như vậy

Tăng quyền là một trong những lỗ hổng có tác động cao nhất đối với các nền tảng CMS như WordPress vì:

• Hậu quả sau khai thác là nghiêm trọng: một khi một tài khoản có thể nâng cao quyền hạn, kẻ tấn công có thể tạo ra các quản trị viên, cài đặt các plugin độc hại, thay đổi mã và truy cập các hằng số cấu hình nhạy cảm (khóa API, thông tin thanh toán).
• Tự động hóa: mã tấn công cho các lỗi WordPress nghiêm trọng thường được tự động hóa. Kẻ tấn công càng sớm tìm thấy và khai thác một trang web dễ bị tổn thương, họ càng có thể xâm phạm nhiều trang hơn.
• Di chuyển ngang: một kẻ tấn công có quyền quản trị có thể chuyển sang duy trì cấp độ máy chủ nếu có các cấu hình sai khác, làm tăng độ phức tạp trong việc dọn dẹp.

Bởi vì nhiều trang WordPress cho phép tài khoản người đăng ký hoặc tài khoản có quyền hạn thấp để đăng ký, hệ thống bình luận, tính năng thành viên, cổng thông tin khách hàng hoặc môi trường thử nghiệm, lỗ hổng này có thể ảnh hưởng đến một số lượng lớn các cài đặt.

---

Các kịch bản tấn công thực tế (mức độ cao)

• Kịch bản A — Tài khoản người đăng ký nâng cao: Một người dùng độc hại với tài khoản người đăng ký sử dụng một điểm cuối plugin thiếu kiểm tra ủy quyền thích hợp để tự gán cho mình hoặc một tài khoản khác các khả năng cao hơn (ví dụ: thăng chức thành biên tập viên hoặc quản trị viên).
• Kịch bản B — Chiếm đoạt tài khoản sau khi nâng cao: Sau khi thăng chức, kẻ tấn công đăng nhập vào WordPress với quyền quản trị, cài đặt một plugin cửa hậu và tạo các tài khoản quản trị viên vĩnh viễn để truy cập sau này.
• Kịch bản C — Tự động hóa: Các kẻ tấn công quét internet để tìm các trang có plugin dễ bị tổn thương, sau đó chạy các chuỗi tự động để nâng cao quyền hạn trên nhiều trang.
• Kịch bản D — Lạm dụng không xác thực (được báo cáo bởi một số nguồn): Nếu có một vector không xác thực, một kẻ tấn công có thể gọi từ xa điểm cuối dễ bị tổn thương mà không cần đăng nhập, nâng cao quyền hạn ở bất kỳ đâu plugin có mặt.

---

Hành động ngay lập tức — những gì cần làm ngay bây giờ (danh sách ưu tiên)

Nếu bạn điều hành các trang WordPress có thể bao gồm plugin Simple User Capabilities:

1. Xác định các trang web bị ảnh hưởng
   • Tìm kiếm các cài đặt của bạn cho tên thư mục plugin (khả năng-người-dùng-đơn-giản hoặc tương tự).
   • Sử dụng các công cụ quản lý của bạn (bảng điều khiển lưu trữ, WP-CLI, trình quản lý tệp) để xác định vị trí các tệp plugin.
2. Đưa plugin ngoại tuyến (giảm thiểu ngay lập tức được khuyến nghị)
   • Nếu bạn xác nhận plugin đã được cài đặt và sử dụng, hãy vô hiệu hóa hoặc tạm thời gỡ bỏ nó ngay lập tức.
   • Sử dụng WP-Admin: Plugins > Installed Plugins > Deactivate.
   • Sử dụng WP-CLI (an toàn hơn cho nhiều trang web):
       – Danh sách: wp plugin list --status=active --field=name
       – Vô hiệu hóa: wp plugin deactivate simple-user-capabilities
   • Nếu plugin là trung tâm của chức năng trang web và không thể bị vô hiệu hóa mà không làm hỏng trang web, hãy áp dụng các biện pháp kiểm soát bên dưới trong khi chuẩn bị để loại bỏ hoặc thay thế nó hoàn toàn.
3. Hạn chế truy cập vào các trang và điểm cuối nhạy cảm
   • Chặn truy cập vào bất kỳ điểm cuối cụ thể nào của plugin mà thay đổi vai trò hoặc khả năng.
   • Nếu bạn có tường lửa ứng dụng web (WAF), hãy thực hiện một quy tắc để từ chối các yêu cầu phù hợp với các điểm cuối quản lý khả năng của plugin (xem phần hướng dẫn WAF của chúng tôi).
   • Tạm thời vô hiệu hóa đăng ký công khai nếu không cần thiết.
4. Thay đổi mật khẩu cho quản trị viên
   • Đổi mới và tăng cường tất cả mật khẩu của quản trị viên và bất kỳ tài khoản nào nghi ngờ bị xâm phạm.
   • Hết hạn phiên cho người dùng quản trị (Users > All Users > Có các plugin hoặc bảng điều khiển quản trị cho phép bạn vô hiệu hóa phiên).
5. Kiểm tra người dùng và vai trò
   • Sử dụng WP-CLI hoặc cơ sở dữ liệu để liệt kê người dùng và kiểm tra phân công vai trò:
     wp user list --fields=ID,user_login,user_email,roles
   • Kiểm tra wp_usermeta để tìm các thay đổi vai trò đáng ngờ:
     SELECT user_id, meta_key, meta_value FROM wp_usermeta WHERE meta_key LIKE 'pabilities%';
   • Ngay lập tức xóa bất kỳ tài khoản quản trị nào không mong đợi và khóa các tài khoản không nên có quyền ưu tiên.
6. Đảm bảo sao lưu
   • Thực hiện sao lưu đầy đủ (tệp + cơ sở dữ liệu) trước khi thực hiện các thay đổi quan trọng. Nếu nghi ngờ có sự xâm phạm, hãy giữ lại một bản chụp để phản ứng sự cố.
7. Tăng cường giám sát
   • Bật/xác minh ghi log cho các lần đăng nhập quản trị, cài đặt plugin, thay đổi tệp và lỗi PHP.
   • Theo dõi các chỉ số của sự xâm phạm (người dùng quản trị mới, tệp plugin hoặc chủ đề đã được sửa đổi, công việc cron bất ngờ).
8. Nếu bạn thấy bằng chứng về sự xâm phạm, hãy liên quan đến phản ứng sự cố
   • Đừng giả định rằng chỉ cần vô hiệu hóa là đủ. Một kẻ tấn công quyết tâm có thể đã đặt backdoor. Hãy theo dõi một kế hoạch phản ứng sự cố đầy đủ hoặc thuê các chuyên gia an ninh.

---

Phát hiện an toàn và kiểm tra pháp y

Dưới đây là các kiểm tra an toàn, không xâm lấn để phát hiện xem lỗ hổng có bị lạm dụng trên một cài đặt hay không. Tránh đăng công khai hoặc chia sẻ chi tiết khai thác.

1. Kiểm tra người dùng & vai trò
   • WP-CLI:
     wp user list --role=administrator --fields=ID,user_login,user_email,roles
wp user list --role=editor --fields=...
   • SQL: Tìm kiếm người dùng quản trị mới được thêm gần đây:
     SELECT ID, user_login, user_email, user_registered FROM wp_users WHERE ID IN (SELECT user_id FROM wp_usermeta WHERE meta_key = 'wp_capabilities' AND meta_value LIKE 'ministrator%') ORDER BY user_registered DESC LIMIT 50;
   • Kiểm tra các thay đổi vai trò đột ngột bằng cách so sánh sao lưu hoặc nhật ký với trạng thái hiện tại.
2. Tính toàn vẹn của tệp
   • Quét wp-content/plugins, themes và uploads để tìm các tệp PHP đã được sửa đổi gần đây.
   • Tìm các tệp có tên hoặc đoạn mã đáng ngờ (base64, eval, system, exec usage).
   • Công cụ: sử dụng danh sách tệp phía máy chủ và kiểm tra checksum, không phải trình quét công khai. Chúng tôi khuyên bạn nên xác minh thời gian sửa đổi tệp và so sánh với các bản sao lưu sạch.
3. Nhật ký để xem xét
   • Nhật ký truy cập máy chủ web: tìm kiếm các yêu cầu POST đến các điểm cuối cụ thể của plugin, các tham số truy vấn đáng ngờ hoặc chuỗi User-Agent bất thường.
   • Nhật ký lỗi PHP: cảnh báo hoặc lỗi lặp lại có thể tiết lộ các mẫu lạm dụng.
   • Nhật ký gỡ lỗi WordPress (nếu được bật).
4. Cron & tác vụ đã lên lịch
   • danh sách sự kiện wp cron — kiểm tra các công việc đã lên lịch không mong đợi.
   • Cơ sở dữ liệu: SELECT * FROM wp_options WHERE option_name LIKE '_transient_cron%' hoặc kiểm tra tùy chọn ‘cron’.
5. Quét phần mềm độc hại
   • Chạy quét phần mềm độc hại (plugin hoặc công cụ phía máy chủ) nhưng coi kết quả như một lời khuyên — cần xem xét thủ công.

Nếu bạn phát hiện bằng chứng về lạm dụng, hãy bảo tồn tất cả nhật ký và đưa trang web ngoại tuyến hoặc vào chế độ bảo trì trong khi bạn điều tra.

---

Chiến lược kiểm soát khi bạn không thể ngay lập tức gỡ bỏ plugin

Nếu trang web của bạn phụ thuộc vào plugin và việc đưa nó ngoại tuyến sẽ làm hỏng chức năng quan trọng, hãy sử dụng biện pháp giảm thiểu theo lớp:

• Chặn các điểm cuối nghi ngờ ở cấp máy chủ web (nginx/Apache) bằng cách sử dụng các quy tắc đơn giản từ chối yêu cầu đến các tệp PHP của plugin từ truy cập công khai. Ví dụ (nginx):
  location ~* /wp-content/plugins/simple-user-capabilities/ { deny all; }
  Lưu ý: Chặn thư mục plugin hoàn toàn sẽ làm hỏng các tính năng hợp pháp. Sử dụng cẩn thận và thử nghiệm trên môi trường staging trước.
• Giới hạn các trang quản trị plugin cho các IP cụ thể bằng cách sử dụng quy tắc cho phép/ từ chối .htaccess hoặc nginx.
• Áp dụng giới hạn tỷ lệ cho các yêu cầu POST đến các điểm cuối của plugin để làm chậm tự động hóa.
• Củng cố xác thực: thực thi mật khẩu quản trị viên mạnh, buộc tất cả quản trị viên phải đăng nhập lại và xoay vòng các khóa API.
• Giám sát và cảnh báo: thiết lập cảnh báo ngay lập tức cho bất kỳ yêu cầu POST nào đến các tệp plugin hoặc việc tạo quản trị viên đột ngột.

Mục tiêu là làm cho việc khai thác trở nên khó khăn trong khi bạn lên kế hoạch cho việc gỡ bỏ và thay thế an toàn.

---

Cách một WAF được quản lý (vá ảo) có thể bảo vệ bạn

Nếu bạn chạy một tường lửa ứng dụng web được quản lý, nó có thể triển khai một bản vá ảo giúp giảm thiểu lỗ hổng mà không cần thay đổi mã plugin hoặc yêu cầu gỡ bỏ plugin ngay lập tức. Vá ảo hoạt động bằng cách chặn và ngăn chặn các yêu cầu độc hại phù hợp với các mẫu tấn công.

Các biện pháp bảo vệ bản vá ảo điển hình cho loại lỗ hổng này bao gồm:

• Chặn các yêu cầu đến các điểm cuối plugin dễ bị tổn thương đã biết mà thực hiện thay đổi khả năng/ vai trò.
• Chặn các giá trị tham số nghi ngờ hoặc phương thức yêu cầu (ví dụ: các POST không mong đợi đến các kịch bản quản lý khả năng).
• Thiết lập ngưỡng hành vi bất thường (giới hạn tỷ lệ, kiểm tra danh tiếng IP).
• Từ chối các yêu cầu cố gắng sửa đổi wp_usermeta hoặc bao gồm các tải trọng nghi ngờ nhằm vào việc thao túng vai trò.

Tại WP-Firewall, chúng tôi theo dõi các thông báo công khai và nhanh chóng tạo ra các quy tắc WAF nhắm mục tiêu để chặn các nỗ lực khai thác. Những quy tắc này an toàn theo mặc định: chúng tập trung vào các thuộc tính yêu cầu được sử dụng trong các mẫu lạm dụng và tránh can thiệp vào các hoạt động bình thường của trang web càng nhiều càng tốt.

Lưu ý quan trọng: Bản vá ảo là một biện pháp giảm thiểu, không phải là sự thay thế cho việc gỡ bỏ plugin dễ bị tổn thương và áp dụng bản vá chính thức (khi có sẵn). Các bản vá ảo cho bạn thời gian và bảo vệ người dùng trong khi bạn thực hiện một biện pháp khắc phục toàn diện.

---

Kế hoạch khắc phục từng bước (thời gian khuyến nghị)

Ngay lập tức (trong vòng vài giờ)

• Xác định các cài đặt bị ảnh hưởng.
• Vô hiệu hóa plugin hoặc chặn các điểm cuối của nó nếu việc vô hiệu hóa sẽ làm hỏng trang web.
• Thay đổi mật khẩu quản trị viên và buộc tất cả người dùng đăng xuất.
• Sao lưu tệp và cơ sở dữ liệu.

Ngắn hạn (24–72 giờ)

• Kiểm tra tài khoản người dùng và loại bỏ các quản trị viên không được ủy quyền.
• Quét tìm phần mềm độc hại/cửa hậu; bảo tồn bằng chứng nếu nghi ngờ bị xâm phạm.
• Thực hiện các quy tắc bản vá ảo WAF để chặn các nỗ lực khai thác.
• Vô hiệu hóa đăng ký công khai nếu không cần thiết.
• Khóa wp-admin theo IP nếu khả thi.

Trung hạn (ngày–2 tuần)

• Gỡ bỏ plugin và thay thế bằng một lựa chọn thay thế cung cấp cùng khả năng nhưng tuân theo các kiểm tra ủy quyền an toàn.
• Nếu nhà cung cấp plugin phát hành bản vá chính thức, hãy thử nghiệm nó trong môi trường staging và chỉ áp dụng vào sản xuất sau khi xác minh.
• Xem xét và thắt chặt quyền truy cập trên toàn bộ trang web.
• Triển khai xác thực đa yếu tố (MFA) cho các tài khoản quản trị.

Dài hạn (tuần - tháng)

• Giới thiệu giám sát liên tục và kiểm toán định kỳ các vai trò người dùng và cấu hình plugin.
• Thực thi các thực hành phát triển an toàn cho bất kỳ mã tùy chỉnh nào.
• Duy trì các bản sao lưu định kỳ, đã được kiểm tra và một kế hoạch phục hồi.

---

Danh sách kiểm tra sau sự cố (nếu bạn bị xâm phạm)

1. Kiểm soát — chặn quyền truy cập của kẻ tấn công và bảo tồn chứng cứ.
2. Tiêu diệt — loại bỏ cửa hậu, tệp độc hại và người dùng không được phép.
3. Khôi phục — khôi phục từ một bản sao lưu an toàn nếu cần; vá các plugin và chủ đề dễ bị tổn thương.
4. Xem xét — thực hiện phân tích nguyên nhân gốc rễ và điều chỉnh quy trình để ngăn chặn tái diễn.
5. Thông báo — nếu dữ liệu riêng tư hoặc tài khoản khách hàng bị ảnh hưởng, hãy tuân thủ nghĩa vụ pháp lý và chính sách về việc tiết lộ.

Nếu bạn khôi phục từ các bản sao lưu, hãy đảm bảo rằng bản sao lưu đó có trước khi bị xâm phạm ban đầu và rằng bạn đã vá nguồn lỗ hổng trước khi đưa trang web trở lại hoạt động.

---

Hướng dẫn cho nhà phát triển — cách loại lỗi này xảy ra và cách tránh nó

Lỗ hổng này là một vấn đề xác thực: mã thực hiện các hành động nhạy cảm đã phơi bày các điểm cuối hoặc chức năng mà không kiểm tra xem người dùng gọi có khả năng đúng hay không. Những sai lầm phổ biến bao gồm:

• Chỉ dựa vào xác thực (người dùng đã đăng nhập chưa?) thay vì kiểm tra khả năng đầy đủ (current_user_can(‘manage_options’)).
• Phơi bày chức năng thông qua AJAX, REST API hoặc các điểm cuối admin-post mà không xác minh nonces và quyền hạn.
• Tin tưởng vào các kiểm tra phía khách hàng (ví dụ: ẩn một nút) như một biện pháp an ninh.
• Kiểm tra khả năng không nhất quán giữa các đường dẫn mã.

Các thực hành tốt nhất cho các nhà phát triển plugin:

• Luôn luôn sử dụng người dùng hiện tại có thể() cho các kiểm tra xác thực trước khi thực hiện các hành động nhạy cảm.
• Thực hiện kiểm tra khả năng cả trên giao diện người dùng và trên các trình xử lý hành động phía máy chủ.
• Sử dụng nonces (wp_create_nonce / check_admin_referer) cho việc gửi biểu mẫu và các hành động AJAX.
• Tránh nâng cao quyền hạn một cách lập trình; khi cần thay đổi vai trò/khả năng, đảm bảo chỉ những người dùng có khả năng phù hợp mới có thể kích hoạt nó.
• Áp dụng nguyên tắc quyền hạn tối thiểu: cấp quyền hạn tối thiểu cần thiết.
• Thực hiện ghi nhật ký cho tất cả các thay đổi vai trò/khả năng.
• Tiến hành xem xét mã, phân tích tĩnh và kiểm tra bảo mật (bao gồm cả kiểm tra ủy quyền).

---

Giám sát & tư thế phòng thủ lâu dài

• Bật ghi nhật ký kiểm toán cho các thay đổi vai trò người dùng và cài đặt plugin.
• Sử dụng giải pháp thu thập nhật ký tập trung cho các hoạt động đa trang.
• Thường xuyên quét môi trường của bạn bằng các công cụ quét đáng tin cậy và thực hiện xem xét thủ công các cấu hình quan trọng.
• Sử dụng xác thực đa yếu tố cho tất cả các tài khoản có quyền hạn.
• Thực hiện các biện pháp bảo vệ ở cấp độ mạng: giới hạn quyền truy cập SSH và bảng điều khiển quản trị cho các IP quản trị nếu có thể.

---

Câu hỏi thường gặp

Hỏi: Tôi có thể để plugin hoạt động nếu tôi sử dụng các plugin bảo mật hoặc mật khẩu mạnh không?
MỘT: Không. Nếu chính plugin đó thiếu kiểm tra ủy quyền, các biện pháp khác như mật khẩu mạnh là không đủ. Một WAF có thể giảm thiểu rủi ro nhưng việc gỡ bỏ hoặc vá plugin là cách sửa chữa đúng đắn lâu dài.

Hỏi: Việc gỡ bỏ plugin có làm hỏng trang web của tôi không?
MỘT: Nó phụ thuộc vào mức độ tích hợp của plugin. Trước khi gỡ bỏ, hãy tạo một bản sao lưu đầy đủ và thử nghiệm trên môi trường staging. Nếu plugin kiểm soát chức năng quan trọng, hãy chuẩn bị một kế hoạch thay thế hoặc giảm thiểu.

Hỏi: Có bản vá chính thức nào có sẵn không?
MỘT: Tính đến ngày công bố công khai, không có bản phát hành đã được vá chính thức nào có sẵn. Theo dõi trang chính thức của plugin và các nguồn thông tin lỗ hổng đáng tin cậy để cập nhật. Áp dụng các bản vá theo cách có kiểm soát, theo từng giai đoạn.

Hỏi: Tôi có nên thông báo cho khách hàng của mình nếu các trang web của họ được lưu trữ với tôi và bị ảnh hưởng không?
MỘT: Có. Nếu bạn hoạt động như một nhà cung cấp dịch vụ lưu trữ hoặc dịch vụ quản lý và các trang web của khách hàng bị ảnh hưởng, bạn nên tuân theo nghĩa vụ thông báo của mình và cung cấp các bước khắc phục và thời gian biểu.

---

Mới: Bảo vệ trang web của bạn ngay lập tức — Kế hoạch WP-Firewall miễn phí

Tiêu đề: Thử WP-Firewall Kế Hoạch Miễn Phí — Bảo Vệ Cần Thiết Trong Vài Phút

Nếu bạn muốn bảo vệ ngay lập tức, được quản lý trong khi xử lý khắc phục, hãy xem xét kế hoạch miễn phí của chúng tôi. Nó cung cấp cho mọi trang web các biện pháp phòng thủ cần thiết mà không cần thay đổi mã:

• Cơ bản (Miễn phí): Bảo vệ thiết yếu: tường lửa được quản lý, băng thông không giới hạn, WAF, trình quét phần mềm độc hại và giảm thiểu 10 rủi ro hàng đầu của OWASP.
• Tiêu chuẩn ($50/năm): Tất cả các tính năng Cơ Bản + loại bỏ phần mềm độc hại tự động và khả năng đưa vào danh sách đen/trắng lên đến 20 IP.
• Pro ($299/năm): Tất cả các tính năng Tiêu Chuẩn + báo cáo bảo mật hàng tháng, vá lỗi ảo tự động và các tiện ích mở rộng cao cấp (Quản Lý Tài Khoản Riêng, Tối Ưu Hóa Bảo Mật, Mã Thông Hỗ Trợ WP, Dịch Vụ WP Quản Lý, Dịch Vụ Bảo Mật Quản Lý).

Đăng ký cho cấp miễn phí và nhận quy tắc WAF được quản lý và quét phần mềm độc hại hoạt động nhanh chóng: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(Chúng tôi triển khai các bản vá ảo có mục tiêu và giám sát mối đe dọa liên tục — điều này có thể bảo vệ trang web của bạn trong khoảng thời gian giữa việc công bố và một bản vá chính thức.)

---

Khuyến nghị cuối cùng — những gì chúng tôi muốn bạn làm tiếp theo

1. Ngay lập tức xác định xem Khả Năng Người Dùng Đơn Giản có được cài đặt trên bất kỳ trang nào bạn kiểm soát hay không.
2. Nếu đã cài đặt: hãy đưa nó ngoại tuyến hoặc áp dụng biện pháp ngăn chặn (chặn WAF, hạn chế truy cập) ngay lập tức.
3. Kiểm tra người dùng, thay đổi thông tin đăng nhập quản trị và kiểm tra các chỉ số của sự xâm phạm.
4. Nếu có thể, hãy onboard một WAF được quản lý để triển khai các biện pháp bảo vệ ảo trong khi bạn gỡ bỏ hoặc thay thế plugin.
5. Giữ một lịch trình cập nhật và giám sát có kỷ luật và thực thi bảo mật quản trị mạnh mẽ (MFA, ghi nhật ký).

Nếu bạn cần hỗ trợ cách ly các trang bị ảnh hưởng, triển khai quy tắc vá ảo, hoặc thực hiện phản ứng sự cố, đội ngũ WP-Firewall của chúng tôi sẵn sàng hỗ trợ và hướng dẫn bạn qua một quá trình phục hồi an toàn.

---

Chúng tôi sẽ tiếp tục theo dõi các báo cáo công khai và phối hợp với các nhà cung cấp plugin khi các bản vá chính thức được phát hành. Nếu bạn có bất kỳ câu hỏi nào về việc áp dụng các biện pháp giảm thiểu ở trên hoặc muốn được giúp đỡ trong việc triển khai các quy tắc WAF phù hợp với cấu hình trang web của bạn, hãy liên hệ với đội ngũ vận hành của chúng tôi.

Hãy giữ an toàn — và hành động nhanh chóng. Việc nâng cao quyền hạn trái phép có thể gây thảm họa, nhưng với việc ngăn chặn kịp thời và các biện pháp phòng thủ nhiều lớp, bạn có thể giảm thiểu rủi ro một cách đáng kể.