Tên plugin	UpdraftPlus
Loại lỗ hổng	Lỗi xác thực
Số CVE	CVE-2026-10795
Tính cấp bách	Cao
Ngày xuất bản CVE	2026-06-10
URL nguồn	CVE-2026-10795

Khẩn cấp: UpdraftPlus (≤ 1.26.4) Lỗi xác thực qua UpdraftCentral ‘udrpc’ — Những gì mỗi chủ sở hữu WordPress phải làm ngay bây giờ

Tác giả: Đội ngũ bảo mật WP‑Firewall
Ngày: 2026-06-10
Thẻ: wordpress, bảo mật, updraftplus, wafu, lỗ hổng, phản ứng sự cố

Bản tóm tắt: Một lỗ hổng xác thực bị phá vỡ nghiêm trọng (CVE-2026-10795, CVSS 8.1) ảnh hưởng đến chức năng UpdraftCentral liên quan đến UpdraftPlus (udrpc) cho phép kẻ tấn công không xác thực vượt qua xác thực và thực hiện các hành động có quyền hạn trên các trang web sử dụng các phiên bản dễ bị tổn thương (≤ 1.26.4). Thông báo này giải thích về rủi ro, cách vấn đề thường bị lạm dụng, cách phát hiện các cuộc tấn công, các biện pháp giảm thiểu ngắn hạn (bao gồm cả vá ảo qua WP-Firewall), và các bước khắc phục lâu dài được khuyến nghị.

Mục lục

Tóm tắt điều hành
Tại sao lỗ hổng này lại nguy hiểm
Tổng quan kỹ thuật (không khai thác)
Các vectơ tấn công phổ biến và kịch bản thực tế
Cách nhanh chóng phát hiện nếu trang web của bạn bị nhắm mục tiêu hoặc bị xâm phạm
Các bước giảm thiểu ngay lập tức (áp dụng trong vòng vài phút)
Vá ảo và các quy tắc WAF bạn có thể triển khai ngay bây giờ
Khắc phục hoàn toàn: cập nhật an toàn và kiểm tra sau cập nhật
Danh sách kiểm tra phản ứng sự cố (nếu bị xâm phạm)
Khuyến nghị thắt chặt để giảm thiểu rủi ro trong tương lai
Những câu hỏi thường gặp
Kế hoạch miễn phí WP-Firewall — một cách thực tế để thêm bảo vệ ngay bây giờ
Ghi chú cuối cùng và tài nguyên

Tóm tắt điều hành

Một lỗ hổng xác thực bị phá vỡ trong hệ sinh thái UpdraftPlus (được xác định là CVE-2026-10795) cho phép các yêu cầu không xác thực vượt qua các kiểm tra xác thực mong đợi trong giao diện UpdraftCentral/udrpc. Do tính chất đặc quyền của các khả năng Updraft (sao lưu, khôi phục, di chuyển, điểm điều khiển từ xa), việc khai thác thành công có thể cho phép kẻ tấn công thực hiện các hành động thường yêu cầu quyền quản trị, bao gồm nhưng không giới hạn ở việc thực hiện các quy trình sao lưu/khôi phục, tạo tài khoản quản trị qua các luồng tích hợp, hoặc lấy dữ liệu trang web.

Nếu trang web của bạn chạy UpdraftPlus hoặc bất kỳ thành phần UpdraftCentral liên quan nào và phiên bản plugin là ≤ 1.26.4, hãy coi rủi ro là ngay lập tức: cập nhật hoặc vá ảo ngay bây giờ.

Tại sao lỗ hổng này lại nguy hiểm

Chưa xác thực: Lỗ hổng không yêu cầu kẻ tấn công phải đăng nhập. Kẻ tấn công từ xa có thể tiếp cận điểm cuối dễ bị tổn thương qua các yêu cầu HTTP(S) bình thường.
Tăng quyền / Bỏ qua: Vấn đề này bỏ qua các kiểm tra xác thực, cho phép các hành động do kẻ tấn công kiểm soát mà thường sẽ bị hạn chế cho quản trị viên.
Thân thiện với tự động hóa: Lỗ hổng có thể được kiểm tra và khai thác quy mô lớn với các công cụ HTTP đơn giản, khiến nó trở thành mục tiêu hấp dẫn cho các chiến dịch khai thác hàng loạt.
Vectơ sao lưu/khôi phục: Các thành phần liên quan đến sao lưu và điều khiển từ xa có thể tiết lộ dữ liệu nhạy cảm hoặc cung cấp cho kẻ tấn công các con đường để ghi tệp, chèn tùy chọn hoặc chạy các quy trình duy trì quyền truy cập.

Bởi vì lỗ hổng được tiết lộ qua các yêu cầu web và ảnh hưởng đến một plugin sao lưu/di chuyển rất phổ biến, nó được phân loại là ưu tiên cao để giảm thiểu ngay lập tức.

Tổng quan kỹ thuật (mức cao, không khai thác)

Thành phần bị ảnh hưởng: Plugin UpdraftPlus và cụ thể là RPC liên quan đến UpdraftCentral (được gọi là “udrpc” trong các điểm cuối nội bộ).
Các phiên bản bị ảnh hưởng: Các phiên bản UpdraftPlus (và/hoặc tích hợp UpdraftCentral) lên đến và bao gồm 1.26.4.
Phiên bản đã được vá: 1.26.5 (nâng cấp lên phiên bản này hoặc phiên bản sau để khắc phục vĩnh viễn).
Vấn đề cốt lõi: Xác thực bị hỏng / xác minh không đúng tính xác thực của yêu cầu trong một điểm cuối RPC. Điểm cuối chấp nhận hoặc xử lý các yêu cầu mà lẽ ra phải yêu cầu thông tin xác thực đã được xác thực hoặc một nonce nhưng không được xác minh đúng cách.
Bề mặt tấn công: URL công khai có thể truy cập tiết lộ chức năng udRPC (các trình xử lý HTTP POST/GET chấp nhận lệnh/tham số).

Lưu ý: Chúng tôi cố ý không công bố mã khai thác từng bước. Mục tiêu của chúng tôi là trao quyền cho những người bảo vệ phát hiện và giảm thiểu mà không làm tăng tốc độ tự động hóa tấn công.

Các vectơ tấn công phổ biến và kịch bản thực tế

Kẻ tấn công thường theo các mẫu như thế này:

Khám phá
- Quét các trang web có cài đặt UpdraftPlus (thường gặp với việc liệt kê plugin hoặc các vị trí tệp plugin đã biết).
- Thăm dò các URL bao gồm các chuỗi như “udrpc”, “updraftcentral”, hoặc các mẫu nhất quán với các điểm cuối RPC từ xa.
Bỏ qua xác thực
- Gửi các yêu cầu được chế tạo đến điểm cuối udRPC được thiết kế để kích hoạt các đường dẫn mã bỏ qua xác thực hoặc xử lý sai mã thông báo xác thực/kiểm tra nonce.
Hành động có đặc quyền
- Khi một lỗ hổng được đạt được, kẻ tấn công có thể cố gắng thực hiện các hành động như:
Tính bền vững và di chuyển ngang
- Cài đặt cửa hậu, tạo người dùng quản trị hoặc thêm tác vụ theo lịch để giữ quyền truy cập.
- Di chuyển ngang sang các tích hợp khác hoặc dịch vụ kết nối.

Bởi vì lỗ hổng này cho phép các hành động không được ủy quyền, ngay cả các cuộc thăm dò trinh sát cũng nên được coi là độc hại và được ghi lại để theo dõi.

Cách nhanh chóng phát hiện nếu trang web của bạn bị nhắm mục tiêu hoặc bị xâm phạm

Dấu hiệu của việc nhắm mục tiêu hoặc khai thác:

Các yêu cầu POST bất thường đến các điểm cuối chứa “udrpc”, “updraftcentral”, “updraft”, hoặc các tham số giống RPC không mong đợi trong nhật ký truy cập.
Các yêu cầu từ các tác nhân người dùng bất thường hoặc các IP quét hàng loạt, thường là theo từng đợt.
Người dùng quản trị được tạo ra đột ngột hoặc thay đổi vai trò người dùng.
Các bản sao lưu không mong đợi được tạo ra vào những thời điểm nghi ngờ, hoặc các tệp sao lưu xuất hiện trong wp-content/uploads/updraft (hoặc các vị trí sao lưu khác) mà bạn không kích hoạt.
Các tệp được sửa đổi/tạo bởi WordPress mà bạn không nhận ra, đặc biệt là trong các thư mục plugin hoặc uploads.
Các kết nối mạng ra ngoài bất thường đến các máy chủ không xác định xuất phát từ trang web của bạn (kiểm tra nhật ký mạng nếu có).

Kiểm tra nhật ký để chạy ngay lập tức (ví dụ):

Tìm kiếm nhật ký máy chủ web cho “udrpc”, “updraftcentral”, hoặc các chuỗi tương tự.
Tìm kiếm các yêu cầu POST đến wp-admin/admin‑ajax.php chứa các tham số liên quan đến Updraft hoặc UpdraftCentral.
Xem xét danh sách người dùng WordPress để tìm các tài khoản quản trị không mong đợi:
- Bảng wp_users: các hàng người dùng không mong đợi
- wp_usermeta: can thiệp vào khả năng và vai trò.
Kiểm tra thời gian sửa đổi của các tệp plugin và thư mục tải lên.

Nếu bạn tìm thấy bằng chứng về hoạt động đáng ngờ, hãy làm theo danh sách kiểm tra phản ứng sự cố bên dưới.

Các bước giảm thiểu ngay lập tức (áp dụng trong vòng vài phút)

Nếu bạn không thể cập nhật plugin ngay bây giờ, hãy làm theo các bước sau ngay lập tức:

Chặn truy cập công khai đến điểm cuối udRPC
- Sử dụng WAF, tường lửa máy chủ hoặc cấu hình máy chủ web của bạn để chặn các yêu cầu chứa “udrpc” hoặc “updraftcentral” trong URL hoặc thân POST trừ khi yêu cầu xuất phát từ một IP đáng tin cậy.
Hạn chế quyền truy cập vào các trang quản trị của plugin.
- Hạn chế truy cập vào các trang quản trị UpdraftPlus và thư mục plugin (thông qua danh sách IP cho phép cho quản trị viên).
Tạm thời vô hiệu hóa plugin
- Nếu không thể chặn hoặc bạn nghi ngờ bị xâm phạm, hãy vô hiệu hóa UpdraftPlus cho đến khi bạn có thể cập nhật một cách an toàn.
Thay đổi mật khẩu quản trị và xoay vòng bí mật
- Xoay vòng mật khẩu quản trị viên WordPress, thông tin xác thực cơ sở dữ liệu (nếu nghi ngờ bị xâm phạm), và bất kỳ khóa API nào được sử dụng bởi các dịch vụ tích hợp.
Bật ghi chép và cảnh báo nâng cao
- Bật ghi chép chi tiết các điểm cuối nghi ngờ và cảnh báo về việc tạo người dùng quản trị mới hoặc thay đổi.

Những biện pháp này giúp giảm thiểu rủi ro trong khi bạn chuẩn bị một kế hoạch khắc phục toàn diện.

Vá ảo và các quy tắc WAF bạn có thể triển khai ngay bây giờ

Nếu bạn có một tường lửa ứng dụng web (WAF) — bao gồm WP‑Firewall — bạn có thể triển khai các bản vá ảo chặn các nỗ lực khai thác ở lớp HTTP. Bản vá ảo giúp bạn có thêm thời gian trong khi bạn lập kế hoạch cập nhật và phản ứng sự cố.

Các phương pháp WAF được khuyến nghị

Chặn theo mẫu URL
- Từ chối các yêu cầu mà REQUEST_URI hoặc REQUEST_BODY khớp với các mẫu không phân biệt chữ hoa chữ thường như:
  - udRPC
  - updraftcentral
  - updraft
- Ví dụ quy tắc kiểu ModSecurity (mẫu):
```
SecRule REQUEST_URI|ARGS|REQUEST_HEADERS "@rx (?i)(udrpc|updraftcentral|updraft)"
```
- Lưu ý: Sử dụng các quy tắc bảo thủ không làm hỏng quy trình làm việc hợp pháp của quản trị viên. Thêm IP quản trị viên đã biết vào danh sách cho phép nếu cần.
Yêu cầu nonce và cookie WordPress hợp lệ
- Chặn các yêu cầu đến các điểm cuối RPC trừ khi có cookie đăng nhập hợp lệ hoặc tham số nonce đã được xác thực. Nếu một yêu cầu không có cookie xác thực và cố gắng gọi các tên hành động RPC liên quan đến Updraft, hãy từ chối.
Chặn các loại nội dung và mã hóa nghi ngờ
- Từ chối các yêu cầu với mã hóa nội dung lạ, hoặc các POST bao gồm các blob base64 nhằm truyền dữ liệu đã được tuần tự hóa.
Giới hạn tỷ lệ và kiểm soát danh tiếng
- Giới hạn tỷ lệ các yêu cầu đến các điểm cuối. Chặn các IP có mẫu quét.
Danh sách cho phép Geo/IP
- Nếu các quản trị viên của bạn hoạt động từ một tập hợp nhỏ các dải IP đã biết, hãy hạn chế quyền truy cập vào các điểm cuối nhạy cảm của plugin cho những IP đó.
Giám sát các chỉ số
- Tạo một cảnh báo cho bất kỳ yêu cầu nào bị chặn để bạn có thể điều tra hoạt động thăm dò tiềm năng.

Khách hàng WP‑Firewall: chúng tôi đã phát hành một quy tắc giảm thiểu để chặn các mẫu khai thác phổ biến cho vấn đề này và theo dõi tích cực các nỗ lực trên mạng của chúng tôi. Nếu bạn cần trợ giúp trong việc kích hoạt vá ảo cho nhiều trang, nền tảng của chúng tôi có thể áp dụng các quy tắc một cách tập trung.

Ví dụ về quy tắc ModSecurity và đoạn mã nginx (mẫu)

Sử dụng những điều này làm điểm khởi đầu; điều chỉnh cho môi trường của bạn và thử nghiệm trên môi trường staging trước khi đưa vào sản xuất.

ModSecurity (được khuyến nghị, thử nghiệm trước khi triển khai):

# Chặn truy cập udRPC nghi ngờ (không phân biệt chữ hoa chữ thường)"

nginx (chặn đơn giản theo URL):

location ~* /(?:(?:udrpc)|(?:updraftcentral)|(?:updraft)) {

Quan trọng: những điều này là quyết liệt và có thể chặn các hoạt động hợp pháp nếu bạn sử dụng UpdraftCentral một cách hợp pháp. Sử dụng danh sách trắng IP hoặc cho phép các IP quản trị cụ thể để truy cập quản trị an toàn.

Khắc phục hoàn toàn: cập nhật, xác minh và tăng cường

Cập nhật plugin
- Cập nhật UpdraftPlus và bất kỳ tích hợp UpdraftCentral nào lên phiên bản 1.26.5 hoặc mới hơn. Đây là bản sửa lỗi cuối cùng.
- Luôn thử nghiệm các bản cập nhật trên một trang staging nếu có thể trước khi đưa vào sản xuất.
Xác minh tính toàn vẹn của các tệp
- So sánh các tệp plugin với một bản sao đã biết là tốt (tải gói plugin từ kho lưu trữ plugin chính thức).
- Tìm các tệp vừa được sửa đổi có nội dung đáng ngờ (web shells, eval(base64_decode(…)), các tệp PHP không xác định).
Thay đổi thông tin đăng nhập và xoay vòng khóa
- Thay đổi mật khẩu quản trị, đặt lại khóa API được sử dụng bởi các bản sao lưu hoặc dịch vụ bên ngoài, và xoay vòng thông tin xác thực cơ sở dữ liệu nếu bạn nghi ngờ có sự xâm phạm.
Xóa các tài khoản không được ủy quyền
- Kiểm tra wp_users và wp_usermeta để tìm các tài khoản hoặc thay đổi vai trò không mong đợi và xóa hoặc hạ cấp bất kỳ người dùng không được ủy quyền nào.
Kiểm tra các bản sao lưu và khôi phục một cách an toàn
- Nếu các bản sao lưu được kích hoạt hoặc tạo ra trong khoảng thời gian nghi ngờ bị khai thác, hãy xử lý chúng như bằng chứng. Không khôi phục các bản sao lưu bị nhiễm mà không làm sạch chúng trước.
Quét lại để tìm phần mềm độc hại
- Chạy quét phần mềm độc hại toàn bộ trang (tệp và cơ sở dữ liệu) với các công cụ bạn tin tưởng. Nếu có thể, hãy để một chuyên gia bảo mật thứ hai kiểm tra trang.
Kích hoạt lại các dịch vụ
- Sau khi xác nhận trạng thái sạch, hãy kích hoạt lại bất kỳ plugin nào đã bị vô hiệu hóa tạm thời và xóa các chặn tường lửa tạm thời, giới hạn chúng ở mức chính sách cần thiết tối thiểu.

Nếu bạn phát hiện một sự cố — danh sách kiểm tra phản ứng sự cố

Nếu đánh giá pháp y của bạn chỉ ra sự xâm phạm, hãy thực hiện một quy trình phản ứng sự cố có cấu trúc:

Cô lập
- Đưa trang vào chế độ bảo trì hoặc chặn lưu lượng tại tường lửa. Ngăn chặn quyền truy cập của kẻ tấn công thêm.
Bảo tồn chứng cứ.
- Bảo tồn nhật ký (máy chủ web, WAF, nhật ký cơ sở dữ liệu). Tạo các bản sao chỉ đọc để điều tra.
Xác định phạm vi
- Xác định các tài khoản, tệp và hệ thống nào đã bị thay đổi. Kiểm tra cơ sở dữ liệu và thư mục tải lên.
Tiêu diệt
- Xóa web shells, các plugin/theme không được ủy quyền và backdoor.
- Thay thế các tệp lõi/plugin đã bị sửa đổi từ một nguồn đáng tin cậy.
Hồi phục
- Khôi phục từ một bản sao lưu sạch hoặc xây dựng lại từ một mã nguồn sạch. Xoay vòng thông tin xác thực khi trang đã sạch.
Giám sát và học hỏi
- Giữ trang trong trạng thái giám sát cao. Thực hiện các chính sách nghiêm ngặt hơn, xác thực hai yếu tố và quét liên tục.
Thông báo cho các bên liên quan
- Thông báo cho chủ sở hữu trang, khách hàng hoặc các cá nhân bị ảnh hưởng theo yêu cầu của chính sách hoặc quy định.

Nếu sự xâm phạm mở rộng ra ngoài một trang duy nhất (ví dụ: trong một môi trường lưu trữ hoặc trên nhiều trang được quản lý), phối hợp với nhà cung cấp lưu trữ hoặc bảo mật của bạn để kiểm soát và khắc phục.

Khuyến nghị thắt chặt để giảm thiểu rủi ro trong tương lai

Giữ cho lõi WordPress, các theme và plugin được cập nhật, và áp dụng các bản cập nhật trong một quy trình kiểm soát từ staging->production.
Giảm thiểu dấu chân của plugin: loại bỏ các plugin không sử dụng hoặc dư thừa.
Sử dụng tối thiểu vai trò: chỉ cấp quyền quản trị cho những người dùng đáng tin cậy.
Sử dụng mật khẩu mạnh và kích hoạt xác thực hai yếu tố cho tất cả người dùng quản trị.
Giới hạn quyền truy cập vào wp-admin và các điểm cuối plugin quan trọng thông qua danh sách cho phép IP khi có thể.
Sử dụng WAF và kích hoạt vá ảo cho các lỗ hổng có nguy cơ cao.
Giám sát nhật ký một cách tập trung và thiết lập cảnh báo cho các hành động quản trị bất ngờ (tạo tài khoản quản trị mới, cài đặt/gỡ cài đặt plugin).
Thường xuyên kiểm tra sao lưu bằng cách thực hiện khôi phục trong các môi trường staging.
Sử dụng nguyên tắc quyền tối thiểu cho người dùng cơ sở dữ liệu và quyền truy cập tệp.

Những câu hỏi thường gặp

Hỏi: Nếu tôi cập nhật lên 1.26.5, tôi có hoàn toàn an toàn không?
MỘT: Cập nhật lên phiên bản đã vá giải quyết lỗ hổng cụ thể và là cách sửa chữa cuối cùng. Sau khi cập nhật, hãy làm theo các bước xác minh ở trên để đảm bảo không còn sự tồn tại nào từ việc khai thác trước đó.

Hỏi: Nhà cung cấp của tôi cung cấp cập nhật tự động. Điều đó có đủ không?
MỘT: Cập nhật tự động giảm rủi ro, nhưng bạn vẫn phải xác minh rằng việc cập nhật đã thành công và quét trang web của bạn để tìm bất kỳ dấu hiệu nào của sự xâm phạm đã xảy ra trước khi cập nhật.

Hỏi: Tôi có nên vô hiệu hóa UpdraftPlus cho đến khi tôi có thể cập nhật không?
MỘT: Nếu bạn không thể áp dụng bản vá hoặc bản vá ảo ngay lập tức, hãy tạm thời vô hiệu hóa plugin. Việc vô hiệu hóa ngăn chặn mã dễ bị tổn thương chạy.

Hỏi: Kẻ tấn công có thể lấy cắp sao lưu không?
MỘT: Có — nếu kẻ tấn công có thể kích hoạt sao lưu và sau đó lấy chúng, các tệp nhạy cảm và bản sao cơ sở dữ liệu có thể bị lấy cắp. Đó là lý do chính để coi lỗ hổng này là có nguy cơ cao.

Kế hoạch bảo vệ miễn phí WP‑Firewall — Bảo vệ trang web của bạn ngay bây giờ

Bảo vệ nhanh chóng, thiết yếu cho mọi trang WordPress

Nếu bạn đang tìm cách nhanh chóng giảm rủi ro trong khi cập nhật plugin và thực hiện kiểm tra pháp y, hãy xem xét việc thêm một lớp bảo vệ bổ sung với WP‑Firewall. Kế hoạch Cơ bản (Miễn phí) của chúng tôi cung cấp cho trang web của bạn sự bảo vệ tường lửa quản lý thiết yếu được thiết kế cho WordPress:

Tường lửa được quản lý với OWASP Top 10 biện pháp giảm thiểu
Các quy tắc Tường lửa Ứng dụng Web (WAF) có thể chặn các mẫu khai thác đã biết
Băng thông không giới hạn và quét phần mềm độc hại để giúp phát hiện các tệp nghi ngờ
Triển khai quy tắc tập trung để bạn có thể áp dụng các bản vá ảo mà không cần thay đổi mã trang

Đăng ký gói Cơ bản (Miễn phí) ngay bây giờ để nhận bảo vệ ảo ngay lập tức trong khi bạn cập nhật UpdraftPlus: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

(Nếu bạn cần xóa tự động, danh sách IP cho phép tùy chỉnh, hoặc vá ảo liên tục ở quy mô lớn, hãy đánh giá các gói trả phí của chúng tôi bao gồm xóa phần mềm độc hại tự động, báo cáo bảo mật hàng tháng và vá ảo tự động cho lỗ hổng.)

Ghi chú cuối cùng và các bước tiếp theo

Hành động ngay lập tức: Cập nhật UpdraftPlus lên phiên bản 1.26.5 hoặc mới hơn càng sớm càng tốt.
Nếu bạn không thể cập nhật ngay lập tức, hãy thực hiện vá ảo (chặn truy cập giống như udRPC), hạn chế các trang plugin chỉ cho IP quản trị, hoặc tạm thời vô hiệu hóa plugin.
Giám sát nhật ký để phát hiện hoạt động thăm dò và các chỉ số như yêu cầu “udrpc”.
Nếu bạn nghi ngờ bị xâm phạm, hãy làm theo danh sách kiểm tra phản ứng sự cố và coi các bản sao lưu được tạo trong khoảng thời gian xâm phạm là có thể bị ô nhiễm.

Chúng tôi tại WP‑Firewall đang theo dõi các mẫu tấn công liên quan đến vấn đề này và đã phát hành các quy tắc giảm thiểu có thể được áp dụng ngay lập tức. Nếu bạn quản lý nhiều trang, vá ảo và giám sát tập trung có thể giảm đáng kể thời gian tài sản của bạn bị lộ.

Để được trợ giúp kích hoạt vá ảo, triển khai các quy tắc WAF được khuyến nghị, hoặc thực hiện đánh giá xâm phạm, hãy liên hệ với đội ngũ bảo mật của bạn hoặc liên hệ với kênh hỗ trợ WP‑Firewall trong bảng điều khiển của bạn.

Hãy giữ an toàn và ưu tiên vá — điều này là khẩn cấp.

— Đội ngũ Bảo mật WP‑Firewall

Tài liệu tham khảo và nguồn lực

CVE: CVE‑2026‑10795
Phiên bản đã vá của UpdraftPlus: 1.26.5 (áp dụng ngay lập tức)
Hướng dẫn xử lý sự cố WordPress chung (làm theo các bước trong thông báo này)

Lỗi xác thực nghiêm trọng trong UpdraftPlus//Được xuất bản vào 2026-06-10//CVE-2026-10795

Khẩn cấp: UpdraftPlus (≤ 1.26.4) Lỗi xác thực qua UpdraftCentral ‘udrpc’ — Những gì mỗi chủ sở hữu WordPress phải làm ngay bây giờ

Mục lục

Tóm tắt điều hành

Tại sao lỗ hổng này lại nguy hiểm

Tổng quan kỹ thuật (mức cao, không khai thác)

Các vectơ tấn công phổ biến và kịch bản thực tế

Cách nhanh chóng phát hiện nếu trang web của bạn bị nhắm mục tiêu hoặc bị xâm phạm

Các bước giảm thiểu ngay lập tức (áp dụng trong vòng vài phút)

Vá ảo và các quy tắc WAF bạn có thể triển khai ngay bây giờ

Các phương pháp WAF được khuyến nghị

Ví dụ về quy tắc ModSecurity và đoạn mã nginx (mẫu)

ModSecurity (được khuyến nghị, thử nghiệm trước khi triển khai):

nginx (chặn đơn giản theo URL):

Khắc phục hoàn toàn: cập nhật, xác minh và tăng cường

Nếu bạn phát hiện một sự cố — danh sách kiểm tra phản ứng sự cố

Khuyến nghị thắt chặt để giảm thiểu rủi ro trong tương lai

Những câu hỏi thường gặp

Kế hoạch bảo vệ miễn phí WP‑Firewall — Bảo vệ trang web của bạn ngay bây giờ

Bảo vệ nhanh chóng, thiết yếu cho mọi trang WordPress

Ghi chú cuối cùng và các bước tiếp theo

Tài liệu tham khảo và nguồn lực

Nhận WP Security Weekly miễn phí 👋
Đăng ký ngay!!

Liên hệ với chúng tôi để lên lịch tư vấn bảo mật WordPress miễn phí

Lỗi xác thực nghiêm trọng trong UpdraftPlus//Được xuất bản vào 2026-06-10//CVE-2026-10795

Khẩn cấp: UpdraftPlus (≤ 1.26.4) Lỗi xác thực qua UpdraftCentral ‘udrpc’ — Những gì mỗi chủ sở hữu WordPress phải làm ngay bây giờ

Mục lục

Tóm tắt điều hành

Tại sao lỗ hổng này lại nguy hiểm

Tổng quan kỹ thuật (mức cao, không khai thác)

Các vectơ tấn công phổ biến và kịch bản thực tế

Cách nhanh chóng phát hiện nếu trang web của bạn bị nhắm mục tiêu hoặc bị xâm phạm

Các bước giảm thiểu ngay lập tức (áp dụng trong vòng vài phút)

Vá ảo và các quy tắc WAF bạn có thể triển khai ngay bây giờ

Các phương pháp WAF được khuyến nghị

Ví dụ về quy tắc ModSecurity và đoạn mã nginx (mẫu)

ModSecurity (được khuyến nghị, thử nghiệm trước khi triển khai):

nginx (chặn đơn giản theo URL):

Khắc phục hoàn toàn: cập nhật, xác minh và tăng cường

Nếu bạn phát hiện một sự cố — danh sách kiểm tra phản ứng sự cố

Khuyến nghị thắt chặt để giảm thiểu rủi ro trong tương lai

Những câu hỏi thường gặp

Kế hoạch bảo vệ miễn phí WP‑Firewall — Bảo vệ trang web của bạn ngay bây giờ

Bảo vệ nhanh chóng, thiết yếu cho mọi trang WordPress

Ghi chú cuối cùng và các bước tiếp theo

Tài liệu tham khảo và nguồn lực

Nhận WP Security Weekly miễn phí 👋Đăng ký ngay!!

Liên hệ với chúng tôi để lên lịch tư vấn bảo mật WordPress miễn phí

Nhận WP Security Weekly miễn phí 👋
Đăng ký ngay!!