Tên plugin	Danh sách lưu trữ JS
Loại lỗ hổng	Tiêm đối tượng PHP
Số CVE	CVE-2026-2020
Tính cấp bách	Trung bình
Ngày xuất bản CVE	2026-03-11
URL nguồn	CVE-2026-2020

Tiêm chích đối tượng PHP trong plugin Danh sách lưu trữ JS (<= 6.1.7) — Những gì mỗi chủ sở hữu và nhà phát triển WordPress phải làm ngay bây giờ

Ngày: 9 Tháng 3, 2026
Mức độ nghiêm trọng: Trung bình (CVSS 7.5) — CVE-2026-2020

Một lỗ hổng vừa được công bố trong plugin WordPress phổ biến “Danh sách lưu trữ JS” (jQuery Archive List Widget) (các phiên bản bị ảnh hưởng: ≤ 6.1.7, đã được vá trong 6.2.0) cho phép người dùng đã xác thực với quyền hạn cấp Contributor thực hiện tiêm chích đối tượng PHP thông qua thuộc tính shortcode có tên đã bao gồm. Loại lỗ hổng này rất nguy hiểm vì nó có thể dẫn đến việc thực thi mã từ xa, leo thang quyền hạn, rò rỉ dữ liệu, làm hỏng trang web và các hậu quả nghiêm trọng khác khi được sử dụng cùng với một chuỗi gadget/POP thích hợp.

Là đội ngũ đứng sau WPFirewall — nhà cung cấp dịch vụ tường lửa và bảo mật WordPress được quản lý — mục tiêu của chúng tôi trong bài viết này là cung cấp cho bạn hướng dẫn rõ ràng, thực tiễn: lỗ hổng này là gì, kẻ tấn công có thể lạm dụng nó như thế nào, cách phát hiện việc khai thác, và các bước chính xác bạn nên thực hiện ngay bây giờ để bảo vệ các trang web bạn quản lý.

Bài viết này được viết từ góc nhìn của một chuyên gia bảo mật WordPress thực tế; nó tập trung vào việc khắc phục thực tiễn và giảm thiểu rủi ro, không phải vào chi tiết khai thác.

Tóm tắt điều hành

Lỗ hổng: Tiêm chích đối tượng PHP thông qua thuộc tính đã bao gồm shortcode trong các phiên bản plugin Danh sách lưu trữ JS lên đến và bao gồm 6.1.7.
CVE: CVE-2026-2020
Quyền hạn yêu cầu: Contributor (người dùng đã xác thực có quyền đăng bài)
Tác động: Mức độ trung bình (CVSS 7.5) — có thể dẫn đến việc bị xâm phạm hoàn toàn nếu một chuỗi gadget PHP phù hợp có sẵn trên trang web
Sửa chữa ngay lập tức: Cập nhật plugin lên phiên bản 6.2.0 hoặc mới hơn
Nếu bạn không thể cập nhật ngay lập tức: thực hiện các biện pháp giảm thiểu tạm thời (hạn chế quyền truy cập của contributor, vô hiệu hóa shortcodes cho người dùng không đáng tin cậy, áp dụng quy tắc tường lửa / vá ảo)
Được khuyến nghị: Quét, tăng cường, giám sát và áp dụng nguyên tắc quyền hạn tối thiểu

Tiêm chích đối tượng PHP (POI) là gì?

Tiêm chích đối tượng PHP xảy ra khi đầu vào của người dùng không đáng tin cậy được truyền vào hủy tuần tự hóa() quy trình (hoặc các cơ chế giải mã khác) mà không có xác thực hoặc làm sạch thích hợp. unserialize sẽ tái tạo các đối tượng PHP với các định nghĩa lớp giống như trong môi trường ứng dụng; nếu bất kỳ lớp nào trong số đó định nghĩa các phương thức ma thuật như __thức dậy, __phá hủy hoặc __đểChuỗi và hoạt động trên các thuộc tính đối tượng theo cách không an toàn (ví dụ: thực hiện các thao tác hệ thống tệp, truy vấn cơ sở dữ liệu, hoặc bao gồm các tệp), một kẻ tấn công có thể tạo ra các tải trọng đã được tuần tự hóa để kích hoạt những hành vi đó. Khi một chuỗi gadget “pop” (lập trình hướng thuộc tính) tồn tại — một chuỗi các phương thức ma thuật trong các lớp có mặt trên trang web — kẻ tấn công có thể thực hiện các hành động như thực thi mã từ xa, sửa đổi tệp, hoặc leo thang quyền hạn.

Trong các môi trường WordPress, các lớp plugin hoặc chủ đề thường là nguồn gốc của những gadget như vậy. Do đó, bất kỳ plugin nào giải mã dữ liệu người dùng không đáng tin cậy, hoặc theo cách khác khởi tạo các đối tượng từ nội dung do người dùng kiểm soát, đều là một rủi ro tiềm tàng.

Cách mà lỗ hổng này hoạt động (mức cao, không khai thác)

Vấn đề được báo cáo phát sinh vì plugin JS Archive List chấp nhận một đã bao gồm thuộc tính trên một trong các shortcode của nó. Một người dùng đã xác thực với quyền Contributor có thể tạo hoặc chỉnh sửa bài viết/trang và thêm shortcode. Cách plugin xử lý thuộc tính đó — đã bao gồm cụ thể là cách nó xử lý hoặc giải mã giá trị thuộc tính — là không an toàn. Điều này cho phép một contributor độc hại gửi một giá trị được chế tạo đặc biệt dẫn đến việc PHP khởi tạo các đối tượng từ dữ liệu do người dùng cung cấp, dẫn đến việc tiêm đối tượng PHP.

Các yếu tố chính khiến lỗ hổng này có thể bị khai thác:

Các contributor có thể thêm shortcode vào nội dung bài viết. Đó là một khả năng bình thường cho các contributor blog.
Plugin sử dụng đã bao gồm thuộc tính theo cách mà cuối cùng dẫn đến việc giải mã hoặc khởi tạo các đối tượng từ đầu vào của người dùng mà không có xác thực đủ.
Một chuỗi gadget/POP phù hợp tồn tại trong các lớp PHP của trang (thường trong các chủ đề, plugin hoặc mã nền tảng) có thể được gọi bởi đối tượng chưa được giải mã để thực hiện các hành động độc hại.

Bởi vì lỗ hổng yêu cầu quyền truy cập của contributor đã xác thực, đây không phải là một lỗ hổng từ xa hoàn toàn không xác thực. Tuy nhiên, quyền truy cập cấp Contributor không hiếm trên các trang WordPress đa tác giả hoặc do cộng đồng điều hành, và thường dễ dàng hơn cho kẻ tấn công để có được hơn là thông tin xác thực của quản trị viên (ví dụ, thông qua thông tin xác thực bị xâm phạm, mật khẩu yếu hoặc kỹ thuật xã hội).

Kịch bản tấn công thực tế

Một contributor độc hại hoặc bị xâm phạm đăng một trang hoặc bài viết chứa shortcode dễ bị tổn thương với một đã bao gồm thuộc tính tiêm một đối tượng đã được tuần tự hóa. Khi xuất bản, trang web xử lý shortcode và khởi tạo đối tượng, kích hoạt một chuỗi gadget viết mã PHP vào đĩa hoặc tạo một người dùng quản trị.
Một kẻ tấn công đã mua hoặc theo cách khác có được thông tin xác thực cấp Contributor cho một trang (ví dụ, thông qua việc nhồi nhét thông tin xác thực) kích hoạt lỗ hổng để có được quyền cao hơn.
Lạm dụng tự động trên nhiều trang: nếu một kẻ tấn công có thể kiểm soát ít nhất các tài khoản cấp Contributor trên nhiều trang (ví dụ, thông qua một chiến dịch gửi nội dung giả), họ có thể cố gắng khai thác hàng loạt.

Tác động tiềm tàng nếu bị khai thác

Tùy thuộc vào sự sẵn có của các chuỗi gadget và cấu hình máy chủ, việc khai thác có thể dẫn đến:

Thực thi mã từ xa (RCE)
Tạo hoặc sửa đổi các tài khoản quản trị viên
Xâm phạm toàn bộ trang web (cửa hậu, chuyển hướng độc hại, tiêm spam)
Rò rỉ dữ liệu (dữ liệu nhạy cảm của trang, danh sách người dùng, địa chỉ email)
Can thiệp vào hệ thống tệp (ghi tệp độc hại, xóa)
Cơ chế duy trì (các tác vụ theo lịch, cron jobs)
Di chuyển ngang sang các trang khác trong cùng một môi trường lưu trữ

Ngay cả khi RCE không đạt được, kẻ tấn công thường có thể sử dụng việc bao gồm hoặc thao tác tệp để làm giảm tính toàn vẹn và khả năng sẵn có.

Cách phát hiện khai thác và dấu hiệu nghi ngờ

Nếu bạn điều hành một trang WordPress, hãy kiểm tra các chỉ số sau:

Các bài viết hoặc trang mới chứa mã ngắn mà bạn không mong đợi — đặc biệt là mã ngắn với một đã bao gồm thuộc tính hoặc các thuộc tính bất thường khác.
Sự thay đổi nội dung bởi các tài khoản người đóng góp mà bạn không tin tưởng.
Lỗi PHP bất ngờ hoặc thông báo nghiêm trọng trong nhật ký lỗi xung quanh việc hiển thị trang hoặc xử lý mã ngắn.
Các tệp mới hoặc đã thay đổi trong thư mục wp-content, đặc biệt là các tệp PHP được thêm vào uploads, themes hoặc plugins.
Người dùng cấp quản trị mới hoặc thay đổi vai trò hoặc khả năng của người dùng hiện có.
Các sự kiện đã lên lịch nghi ngờ (các mục wp_cron) mà bạn không tạo ra.
Hoạt động mạng ra ngoài bất thường hoặc tra cứu DNS từ máy chủ.
Các mục nhập cơ sở dữ liệu với tải trọng đã tuần tự chứa các mẫu như O:\d+:"TênLớp": hoặc C:\d+:{…

Một số dấu hiệu này có thể được phát hiện bởi các máy quét tự động và WAF; nếu bạn thấy bất kỳ điều nào trong số này, hãy tiến hành các bước phản ứng sự cố bên dưới.

Các bước ngay lập tức mà mọi chủ sở hữu trang web nên thực hiện (phân loại sự cố)

Cập nhật ngay lập tức
Cách sửa chữa đơn giản nhất là cập nhật plugin JS Archive List lên phiên bản 6.2.0 hoặc mới hơn. Đây là bản vá được phát hành để khắc phục vấn đề cụ thể này.
Nếu bạn không thể cập nhật ngay lập tức, hãy thực hiện các biện pháp giảm thiểu tạm thời này:
- Gỡ bỏ hoặc vô hiệu hóa plugin cho đến khi bạn có thể cập nhật.
- Vô hiệu hóa mã ngắn mà plugin đăng ký (nếu bạn kiểm soát các tệp plugin, hãy bình luận hoặc hủy đăng ký trình xử lý mã ngắn tạm thời).
- Gỡ bỏ các tài khoản cấp người đóng góp mà bạn không tin tưởng, hoặc thay đổi khả năng của người đóng góp tạm thời (xem phần tiếp theo).
- Sử dụng Tường lửa Ứng dụng Web (WAF) của bạn để chặn các yêu cầu chứa các mẫu đối tượng đã tuần tự trong đã bao gồm thuộc tính — chúng tôi cung cấp hướng dẫn và các chữ ký ví dụ bên dưới.
Quét trang web:
- Thực hiện quét phần mềm độc hại toàn bộ trang web và kiểm tra tính toàn vẹn (so sánh các tệp với các bản sao lưu hoặc bản sao đã biết là tốt).
- Tìm các tệp đã thay đổi gần đây và các tệp PHP không mong đợi trong các thư mục tải lên.
- Kiểm tra nhật ký lỗi để tìm hoạt động bất thường.
Xoay vòng thông tin xác thực:
- Buộc đặt lại mật khẩu cho tác giả, người đóng góp và quản trị viên nếu bạn nghi ngờ bị xâm phạm.
- Thay đổi khóa và bí mật (khóa API, mật khẩu ứng dụng) nếu chúng có thể bị ảnh hưởng.
Khôi phục nếu cần:
- Nếu bạn tìm thấy bằng chứng về sự xâm phạm, hãy cách ly trang web và xem xét khôi phục từ một bản sao lưu sạch được thực hiện trước khi bị xâm phạm.
- Sau khi khôi phục, áp dụng bản vá plugin và các bước tăng cường (bên dưới) trước khi đưa trang web trở lại trực tuyến.
Màn hình:
Theo dõi chặt chẽ các thay đổi nghi ngờ mới và kiểm tra nhật ký để tìm các nỗ lực khai thác thêm.

Giảm thiểu thông qua WAF / vá ảo (cách chặn các nỗ lực cho đến khi bạn có thể vá)

Nếu bạn quản lý một WAF hoặc sử dụng WPFirewall, bạn có thể thực hiện các quy tắc tạm thời chặn các nỗ lực khai thác trong khi cho phép chức năng bình thường của trang web.

Quan trọng: KHÔNG bao gồm các tải trọng khai thác trong các hướng dẫn công khai. Những gì tiếp theo là các ý tưởng quy tắc an toàn, phòng thủ — các mẫu để phát hiện và chặn các đầu vào nghi ngờ — không phải là ví dụ về tải trọng khai thác.

Các mẫu phát hiện được đề xuất để chặn hoặc ghi lại:

Chặn các thân yêu cầu hoặc tham số POST chứa các mẫu đối tượng PHP đã tuần tự:
- Regex để phát hiện các đối tượng PHP đã tuần tự: O:\d+:"[^"]+":\d+:{
- Regex để phát hiện các chuỗi PHP đã tuần tự thường được sử dụng trong các tải trọng khai thác: (O:\d+:|C:\d+:{)
Chặn các yêu cầu mà đã bao gồm tham số chứa các mẫu đã được tuần tự hóa hoặc byte NUL.
Chặn các yêu cầu POST hoặc AJAX tạo hoặc chỉnh sửa bài viết từ các tài khoản người đóng góp chứa dữ liệu tuần tự hóa nghi ngờ.

Ví dụ quy tắc giả (để sử dụng khái niệm bởi quản trị viên WAF của bạn):

Nếu yêu cầu chứa tham số đã bao gồm và giá trị của nó khớp với regex O:\d+:"[^"]+":\d+:{, sau đó chặn hoặc thách thức (CAPTCHA) yêu cầu.
Nếu POST đến wp-admin/post.php từ một người dùng có vai trò Người đóng góp chứa bao gồm= và khớp với regex đối tượng tuần tự, ghi log + chặn.

Ví dụ mẫu kiểu mod_security (giả):

SecRule REQUEST_BODY "@rx (?:O:\d+:"[^\"]+":\d+:\{)" "id:1000013,phase:2,deny,status:403,log,msg:'Chặn đối tượng PHP đã tuần tự hóa trong thuộc tính bao gồm'"

Lưu ý: Cần điều chỉnh. Có thể xảy ra dương tính giả, vì vậy trước tiên hãy chặn ở chế độ phát hiện/log và theo dõi trước khi chuyển sang từ chối.

Khách hàng WP-Firewall có thể kích hoạt một bản vá ảo an toàn đã được xây dựng sẵn chặn bất kỳ yêu cầu nào sử dụng tham số shortcode dễ bị tổn thương với tải trọng tuần tự hóa và các mẫu đặc trưng. Bản vá ảo đó sẽ mua cho bạn thời gian cho đến khi tất cả các trang web được cập nhật.

Hướng dẫn cho nhà phát triển: cách sửa lỗi này trong mã

Nếu bạn là nhà phát triển hoặc người duy trì plugin đang đọc điều này, đây là các nguyên tắc lập trình an toàn và một phác thảo về cách sửa lỗi cơ bản:

Không bao giờ giải tuần tự dữ liệu do người dùng kiểm soát
- Tránh gọi hủy tuần tự hóa() trên bất kỳ dữ liệu nào xuất phát từ các nguồn không đáng tin cậy (thuộc tính shortcode, nội dung bài viết, tham số yêu cầu, v.v.).
- Ưu tiên các định dạng an toàn hơn (JSON) và các cấu trúc đã được xác thực (ví dụ: sử dụng json_decode() với xác thực nghiêm ngặt) nếu bạn phải chấp nhận đầu vào có cấu trúc.
Xác thực và đưa vào danh sách trắng
- Nếu một thuộc tính shortcode được dự định để tham chiếu một tài nguyên (tệp, mẫu, ID), hãy giới hạn các giá trị cho phép trong một danh sách trắng rõ ràng (mảng các mẫu hoặc ID được phép).
- Đối với đường dẫn tệp, sử dụng realpath() kiểm tra và cho phép danh sách các thư mục. Từ chối các giá trị chứa .. hoặc bắt đầu bằng / hoặc chứa byte NUL.
Làm sạch
- Sử dụng các chức năng khử trùng của WordPress (sanitize_text_field, absint, esc_attr) phù hợp với loại mong đợi.
- Làm sạch các thuộc tính sớm và từ chối đầu vào không hợp lệ.
Thực thi kiểm tra năng lực
- Xác thực rằng bất kỳ thao tác nào có hiệu ứng đặc quyền đều yêu cầu khả năng thích hợp (chỉnh sửa bài viết, chỉnh_sửa_tùy_chọn_chủ_đề, quản lý_tùy_chọn).
- Logic shortcode thực hiện các thao tác nhạy cảm không nên chạy chỉ vì một Người đóng góp đã sử dụng shortcode.
Tách biệt các thao tác rủi ro
- Tránh bao gồm các tệp PHP tùy ý hoặc thực thi mã dựa trên đầu vào của người dùng.
- Nếu việc bao gồm các mẫu là cần thiết, ánh xạ các shortcode đến các tệp mẫu nội bộ bằng cách sử dụng một bản đồ kiểm soát thay vì bao gồm trực tiếp đầu vào của người dùng.
Cung cấp các mặc định phòng thủ
- Nếu một thuộc tính bị thiếu hoặc không hợp lệ, hãy sử dụng một mặc định an toàn; không bao giờ giả định sự hiện diện của một đối tượng tuần tự được định dạng tốt.

Ví dụ về xử lý shortcode phòng thủ (chỉ mang tính chất khái niệm):

<?php

Ý tưởng cốt lõi: ánh xạ các giá trị thuộc tính đến các mẫu đã biết, không bao giờ chấp nhận các đối tượng tuần tự đến từ đầu vào của người dùng, và không bao giờ giải tuần tự mà không có xác thực nghiêm ngặt.

Các khuyến nghị tăng cường cho chủ sở hữu và quản trị viên trang web

Cập nhật mọi thứ
- Áp dụng bản cập nhật plugin (6.2.0+) như là ưu tiên hàng đầu. Giữ cho WordPress core, các chủ đề và các plugin khác được cập nhật.
Nguyên tắc đặc quyền tối thiểu
- Xem xét vai trò và khả năng của người dùng. Chỉ cấp vai trò Người đóng góp cho những người bạn tin tưởng. Cân nhắc xem liệu các tác giả khách có thực sự cần tài khoản người đóng góp hay không — đối với nhiều trang web, một quy trình gửi bài được kiểm duyệt (thông qua các biểu mẫu) an toàn hơn.
Quản lý shortcode
- Giới hạn hoặc vô hiệu hóa các shortcode cho các vai trò không đáng tin cậy. Sử dụng các plugin hoặc mã để hạn chế ai có thể sử dụng shortcode trong nội dung bài viết.
Tường lửa ứng dụng web (WAF)
- Triển khai một WAF (có thể là phía máy chủ hoặc như một tường lửa dựa trên plugin) và bật các quy tắc phát hiện và chặn các payload dựa trên serialization và hoạt động đáng ngờ trong khu vực quản trị.
Giám sát và ghi nhật ký
- Bật ghi chép chi tiết cho các hành động quản trị và thay đổi tệp. Sử dụng giám sát tính toàn vẹn tệp để phát hiện các tệp không mong muốn được thêm vào hoặc thay đổi.
Sao lưu và phục hồi
- Duy trì các bản sao lưu đã được kiểm tra với các bản sao ngoài địa điểm. Đảm bảo bạn có thể khôi phục về trạng thái trước khi bị xâm phạm một cách nhanh chóng.
Quét tìm sự thỏa hiệp
- Chạy quét malware trên hệ thống tệp, cơ sở dữ liệu và các chủ đề/plugin. Tìm kiếm PHP bị che giấu, đánh giá() việc sử dụng trong các tệp tải lên, hoặc các tệp PHP độc hại trong /wp-content/tải lên.
Vô hiệu hóa thực thi PHP khi tải lên
- Như một lớp phòng thủ bổ sung, ngăn chặn việc thực thi PHP trong thư mục tải lên bằng cách thêm các quy tắc cấu hình thích hợp .htaccess hoặc quy tắc cấu hình máy chủ — điều này giúp hạn chế thiệt hại nếu các tệp được ghi vào thư mục tải lên.

Sổ tay phản ứng (nếu bạn nghi ngờ mình đã bị tấn công)

Đưa trang web vào chế độ bảo trì/được cách ly (tắt nó nếu cần thiết).
Thu thập nhật ký (máy chủ web, PHP, WAF, cơ sở dữ liệu) và chụp nhanh hệ thống tệp.
Xác định vector và phạm vi xâm nhập: kiểm tra các tệp đã được sửa đổi và các thay đổi trong cơ sở dữ liệu.
Khôi phục từ một bản sao lưu sạch đã biết nếu có thể, áp dụng bản cập nhật plugin và bất kỳ bản vá nào khác có sẵn.
Thay đổi thông tin đăng nhập và khóa: tài khoản WordPress, bảng điều khiển lưu trữ, cơ sở dữ liệu, khóa API.
Kiểm tra lại quyền tệp và cấu hình máy chủ để đảm bảo không còn cửa hậu nào tồn tại.
Sau khi dọn dẹp, bật giám sát nâng cao, cảnh báo và một bản vá ảo WAF để ngăn chặn tái diễn.

Nếu bạn không tự tin thực hiện những nhiệm vụ này, hãy hợp tác với một đối tác phản ứng sự cố có năng lực và có kinh nghiệm với WordPress.

Tại sao các lỗ hổng cấp độ người đóng góp lại quan trọng (và tại sao nhiều trang web bị phơi bày)

Nhiều chủ sở hữu trang web cho rằng chỉ có các lỗ hổng cấp độ quản trị mới nguy hiểm. Đó là một sai lầm. Tài khoản người đóng góp thường được phép thêm nội dung bao gồm mã ngắn, nhúng HTML hoặc tải lên, và những khả năng đó cung cấp đủ bề mặt tấn công cho các plugin vũ khí xử lý sai đầu vào.

Các blog cộng đồng, tạp chí đa tác giả, nền tảng thành viên và các trang web dựa trên việc gửi bài đặc biệt có nguy cơ cao vì chúng thường xuyên cấp quyền tạo nội dung cho nhiều người dùng. Nếu bạn điều hành một trong những trang web này, lỗ hổng này đặc biệt có liên quan.

Ví dụ về một quy tắc WAF bảo thủ mà bạn có thể sử dụng (khái niệm)

Dưới đây là một mẫu an toàn, phòng thủ mà quản trị viên bảo mật hoặc nhà cung cấp WAF của bạn có thể điều chỉnh và tinh chỉnh. Nó phát hiện các đối tượng PHP đã được tuần tự hóa và chặn yêu cầu. Bắt đầu ở chế độ phát hiện/log trước khi chuyển sang chặn.

Ghi chú: Đây là khái niệm và phải được điều chỉnh cho môi trường của bạn (mã hóa yêu cầu, ngoại lệ cho phép, kiểm tra hiệu suất).

# Phát hiện các đối tượng PHP đã được tuần tự hóa trong bất kỳ tham số yêu cầu nào (không phân biệt chữ hoa chữ thường)"

# Phát hiện các đối tượng đã được tuần tự hóa cụ thể trong tham số 'included' (thuộc tính shortcode rủi ro).

Một lần nữa: kiểm tra, giám sát và tinh chỉnh. Có thể xảy ra các trường hợp dương tính giả cho nội dung tuần tự hóa hợp pháp hiếm gặp.

Các sửa chữa của nhà phát triển lâu dài và bài học trên toàn nền tảng.
Tránh chấp nhận các cấu trúc PHP đã được tuần tự hóa từ không gian người dùng. Nếu bạn cần truyền dữ liệu có cấu trúc, hãy sử dụng JSON và xác thực sơ đồ một cách nghiêm ngặt.
Sử dụng các mẫu PHP hiện đại và tránh sử dụng các lớp nặng về phương thức ma thuật cho các nhiệm vụ quan trọng; chúng tạo ra các chuỗi gadget có thể bị khai thác khi việc giải tuần tự hóa là khả thi.
Khi viết API chấp nhận nội dung có cấu trúc, hãy sử dụng dữ liệu kiểu và xác thực sơ đồ.

Khuyến khích các tác giả plugin áp dụng thiết kế an toàn theo mặc định: danh sách trắng đầu vào, quyền tối thiểu và làm sạch mạnh mẽ.

Danh sách kiểm tra thực tế cho các cơ quan, nhà cung cấp và quản lý trang web.
Kiểm kê các trang web sử dụng plugin JS Archive List và xác định các phiên bản.
Cập nhật tất cả các trang web lên phiên bản plugin đã được vá (6.2.0+) ngay lập tức.
Nếu không thể cập nhật, hãy vô hiệu hóa plugin hoặc xóa tài khoản người đóng góp không đáng tin cậy.
Áp dụng một quy tắc WAF tạm thời để phát hiện và chặn các mẫu đối tượng đã được tuần tự hóa trong các POST khu vực quản trị.
Chạy quét toàn bộ hệ thống tệp và cơ sở dữ liệu cho các IOC được mô tả ở trên.
Xác minh quyền tệp và vô hiệu hóa việc thực thi PHP trong các tệp tải lên.
Đảm bảo các bản sao lưu là hiện tại và đã được kiểm tra.

Thực hiện giám sát liên tục và cảnh báo cho các hoạt động nghi ngờ trong khu vực quản trị.

Lời cuối: đừng chờ đợi — hãy coi các lỗ hổng của người đóng góp là có thật.

Bảo mật được phân lớp: cập nhật, quyền tối thiểu, WAF, giám sát, sao lưu và phản ứng sự cố phải hoạt động cùng nhau.

Bảo vệ miễn phí ngay lập tức với WPFirewall — bắt đầu ở đây

Nếu bạn muốn bảo vệ ngay lập tức trong khi cập nhật plugin và tăng cường bảo mật cho các trang, WPFirewall cung cấp một gói Cơ bản (Miễn phí) cung cấp bảo vệ thiết yếu, được quản lý dành riêng cho WordPress:

Bảo vệ thiết yếu: tường lửa được quản lý, băng thông không giới hạn, Tường lửa ứng dụng web (WAF), quét phần mềm độc hại
Giảm thiểu rủi ro OWASP Top 10
Gói miễn phí là lý tưởng để nhanh chóng thêm một bản vá ảo và chặn các nỗ lực khai thác trong khi bạn áp dụng các bản cập nhật từ nhà cung cấp hoặc thực hiện một đánh giá bảo mật toàn diện

Các tùy chọn nâng cấp có sẵn nếu bạn muốn tự động xóa phần mềm độc hại, danh sách đen/được trắng địa chỉ IP, báo cáo bảo mật hàng tháng, vá ảo tự động lỗ hổng và dịch vụ hỗ trợ cao cấp.

Đăng ký gói miễn phí ngay bây giờ và bảo vệ trang của bạn trong khi bạn cập nhật: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Tài liệu tham khảo hữu ích và đọc thêm

CVE-2026-2020 (định danh thông báo công khai)
Hướng dẫn chung về rủi ro và biện pháp phòng ngừa PHP deserialization
Tài liệu cho nhà phát triển WordPress: đăng ký và làm sạch mã ngắn, khả năng của người dùng
Tinh chỉnh WAF: bắt đầu ở chế độ phát hiện, xem xét nhật ký, sau đó thực thi

Nếu bạn quản lý các trang WordPress và cần hỗ trợ với phân loại, quét các chỉ số bị xâm phạm, vá ảo, hoặc tăng cường plugin, đội ngũ kỹ sư bảo mật WordPress của WPFirewall có thể giúp bạn với quy trình khắc phục từng bước và kế hoạch bảo vệ lâu dài. Bảo vệ các trang khỏi bị khai thác không chỉ là áp dụng các bản vá — mà còn là ngăn chặn các cuộc tấn công trước khi chúng đến mã dễ bị tổn thương, giảm bề mặt tấn công và có một quy trình phục hồi nhanh chóng, đáng tin cậy.

Hãy giữ an toàn và cập nhật plugin ngay bây giờ.

Plugin lưu trữ JS tiêm đối tượng PHP quan trọng // Được xuất bản vào 2026-03-11 // CVE-2026-2020

Tiêm chích đối tượng PHP trong plugin Danh sách lưu trữ JS (<= 6.1.7) — Những gì mỗi chủ sở hữu và nhà phát triển WordPress phải làm ngay bây giờ

Tóm tắt điều hành

Tiêm chích đối tượng PHP (POI) là gì?

Cách mà lỗ hổng này hoạt động (mức cao, không khai thác)

Kịch bản tấn công thực tế

Tác động tiềm tàng nếu bị khai thác

Cách phát hiện khai thác và dấu hiệu nghi ngờ

Các bước ngay lập tức mà mọi chủ sở hữu trang web nên thực hiện (phân loại sự cố)

Giảm thiểu thông qua WAF / vá ảo (cách chặn các nỗ lực cho đến khi bạn có thể vá)

Hướng dẫn cho nhà phát triển: cách sửa lỗi này trong mã

Các khuyến nghị tăng cường cho chủ sở hữu và quản trị viên trang web

Sổ tay phản ứng (nếu bạn nghi ngờ mình đã bị tấn công)

Tại sao các lỗ hổng cấp độ người đóng góp lại quan trọng (và tại sao nhiều trang web bị phơi bày)

Ví dụ về một quy tắc WAF bảo thủ mà bạn có thể sử dụng (khái niệm)

Một lần nữa: kiểm tra, giám sát và tinh chỉnh. Có thể xảy ra các trường hợp dương tính giả cho nội dung tuần tự hóa hợp pháp hiếm gặp.

Khuyến khích các tác giả plugin áp dụng thiết kế an toàn theo mặc định: danh sách trắng đầu vào, quyền tối thiểu và làm sạch mạnh mẽ.

Thực hiện giám sát liên tục và cảnh báo cho các hoạt động nghi ngờ trong khu vực quản trị.

Bảo vệ miễn phí ngay lập tức với WPFirewall — bắt đầu ở đây

Tài liệu tham khảo hữu ích và đọc thêm

Nhận WP Security Weekly miễn phí 👋
Đăng ký ngay!!

Liên hệ với chúng tôi để lên lịch tư vấn bảo mật WordPress miễn phí

Plugin lưu trữ JS tiêm đối tượng PHP quan trọng // Được xuất bản vào 2026-03-11 // CVE-2026-2020

Tiêm chích đối tượng PHP trong plugin Danh sách lưu trữ JS (<= 6.1.7) — Những gì mỗi chủ sở hữu và nhà phát triển WordPress phải làm ngay bây giờ

Tóm tắt điều hành

Tiêm chích đối tượng PHP (POI) là gì?

Cách mà lỗ hổng này hoạt động (mức cao, không khai thác)

Kịch bản tấn công thực tế

Tác động tiềm tàng nếu bị khai thác

Cách phát hiện khai thác và dấu hiệu nghi ngờ

Các bước ngay lập tức mà mọi chủ sở hữu trang web nên thực hiện (phân loại sự cố)

Giảm thiểu thông qua WAF / vá ảo (cách chặn các nỗ lực cho đến khi bạn có thể vá)

Hướng dẫn cho nhà phát triển: cách sửa lỗi này trong mã

Các khuyến nghị tăng cường cho chủ sở hữu và quản trị viên trang web

Sổ tay phản ứng (nếu bạn nghi ngờ mình đã bị tấn công)

Tại sao các lỗ hổng cấp độ người đóng góp lại quan trọng (và tại sao nhiều trang web bị phơi bày)

Ví dụ về một quy tắc WAF bảo thủ mà bạn có thể sử dụng (khái niệm)

Một lần nữa: kiểm tra, giám sát và tinh chỉnh. Có thể xảy ra các trường hợp dương tính giả cho nội dung tuần tự hóa hợp pháp hiếm gặp.

Khuyến khích các tác giả plugin áp dụng thiết kế an toàn theo mặc định: danh sách trắng đầu vào, quyền tối thiểu và làm sạch mạnh mẽ.

Thực hiện giám sát liên tục và cảnh báo cho các hoạt động nghi ngờ trong khu vực quản trị.

Bảo vệ miễn phí ngay lập tức với WP­Firewall — bắt đầu ở đây

Tài liệu tham khảo hữu ích và đọc thêm

Nhận WP Security Weekly miễn phí 👋Đăng ký ngay!!

Liên hệ với chúng tôi để lên lịch tư vấn bảo mật WordPress miễn phí

Bảo vệ miễn phí ngay lập tức với WPFirewall — bắt đầu ở đây

Nhận WP Security Weekly miễn phí 👋
Đăng ký ngay!!