| Tên plugin | Taqnix |
|---|---|
| Loại lỗ hổng | CSRF |
| Số CVE | CVE-2026-3565 |
| Tính cấp bách | Thấp |
| Ngày xuất bản CVE | 2026-04-23 |
| URL nguồn | CVE-2026-3565 |
Taqnix <= 1.0.3 — CSRF để Xóa Tài Khoản (CVE-2026-3565): Những gì Chủ Sở Hữu Trang WordPress Cần Làm Ngay Bây Giờ
Vào ngày 23 tháng 4 năm 2026, một lỗ hổng Cross-Site Request Forgery (CSRF) ảnh hưởng đến plugin WordPress Taqnix (các phiên bản <= 1.0.3) đã được công bố (CVE-2026-3565). Vấn đề cho phép một kẻ tấn công từ xa tạo ra một yêu cầu mà, khi được thực hiện bởi một người dùng có quyền truy cập đã đăng nhập, có thể dẫn đến các hoạt động xóa tài khoản. Mặc dù điểm CVSS được theo dõi tương đối thấp (4.3), vấn đề vẫn quan trọng vì nó nhắm vào chức năng quản lý tài khoản — một mục tiêu có giá trị cao cho kẻ tấn công — và có thể bị khai thác quy mô lớn thông qua kỹ thuật xã hội và các trang độc hại hàng loạt.
Trong bài viết này, tôi sẽ giải thích, bằng tiếng Anh đơn giản, lỗ hổng này là gì, cách mà kẻ tấn công có thể lạm dụng nó, cách kiểm tra xem trang của bạn có bị ảnh hưởng hay không, và các bước thực tế bạn nên thực hiện ngay bây giờ (bao gồm các mẫu giảm thiểu và một bản vá ảo khẩn cấp mà bạn có thể áp dụng từ WAF của mình). Tôi cũng sẽ bao gồm các đoạn mã nhỏ và các quy tắc WAF mẫu mà bạn có thể sử dụng ngay lập tức, và giải thích cách WP-Firewall giúp giảm rủi ro cho các trang không thể cập nhật ngay lập tức.
Ghi chú: Tác giả plugin đã phát hành một bản vá trong phiên bản 1.0.4. Cập nhật ngay lập tức nếu bạn đang chạy plugin này.
TL;DR (Tóm tắt nhanh)
- Plugin bị ảnh hưởng: Taqnix cho WordPress
- Các phiên bản dễ bị tổn thương: <= 1.0.3
- Lỗ hổng: Cross-Site Request Forgery (CSRF) có thể kích hoạt việc xóa tài khoản
- CVE: CVE-2026-3565
- Phiên bản đã vá: 1.0.4
- Tác động: Xóa tài khoản (bao gồm cả tài khoản có quyền) khi một người dùng có quyền tương tác với nội dung đã được tạo ra
- Hành động ngay lập tức: Cập nhật lên 1.0.4; nếu bạn không thể cập nhật ngay lập tức, áp dụng WAF/bản vá ảo; kiểm tra người dùng và nhật ký; thắt chặt quyền truy cập quản trị và kích hoạt 2FA
CSRF là gì và tại sao nó quan trọng đối với WordPress?
Cross-Site Request Forgery (CSRF) là một cuộc tấn công buộc một người dùng đã xác thực phải gửi một yêu cầu mà họ không có ý định thực hiện. Kẻ tấn công dụ một người dùng đã đăng nhập (thường là quản trị viên hoặc một vai trò có quyền khác) truy cập một trang hoặc nhấp vào một liên kết đã được tạo ra. Bởi vì trình duyệt của nạn nhân bao gồm các cookie phiên hợp lệ của họ, máy chủ xử lý yêu cầu giả mạo như thể nó đến từ người dùng hợp pháp.
Trên WordPress, các hành động quản lý tài khoản (tạo, cập nhật, xóa người dùng) là rất quan trọng. CSRF trên các điểm cuối xóa tài khoản có thể được sử dụng để loại bỏ quản trị viên, làm gián đoạn hoạt động, hoặc tạo ra các tình huống lạm dụng dẫn đến việc khóa tài khoản và sau đó là việc chiếm đoạt tài khoản. Ngay cả khi lỗ hổng có thể được đánh giá là “thấp” vì lý do kỹ thuật, rủi ro trong thế giới thực cao hơn vì nó nhắm vào quyền kiểm soát tài khoản và có thể bị vũ khí hóa bằng kỹ thuật xã hội.
Cách lỗ hổng Taqnix này hoạt động (theo cách thực tiễn)
Từ các chi tiết đã được công bố:
- Plugin này tiết lộ một điểm cuối / hành động thực hiện việc xóa tài khoản mà không xác thực đúng ý định thông qua các nonce của WordPress hoặc kiểm tra khả năng đầy đủ.
- Yêu cầu có thể được khởi xướng bởi một kẻ tấn công không xác thực (tức là, trang của kẻ tấn công không cần phải đăng nhập). Tuy nhiên, việc khai thác thành công yêu cầu một người dùng có quyền đã đăng nhập (ví dụ, một quản trị viên) truy cập trang của kẻ tấn công hoặc nhấp vào một liên kết — cần có sự tương tác của người dùng.
- Bởi vì quy trình xóa tài khoản thiếu các biện pháp bảo vệ CSRF đủ, kẻ tấn công có thể kích hoạt việc xóa bằng cách sử dụng một yêu cầu POST hoặc GET đã được tạo ra khai thác phiên hoạt động của người dùng có quyền.
Một chuỗi tấn công điển hình:
- Kẻ tấn công tạo ra một URL hoặc biểu mẫu HTML độc hại nhắm vào hành động Taqnix dễ bị tổn thương (ví dụ, admin-post.php?action=taqnix_delete_account hoặc hành động plugin tương tự).
- Kẻ tấn công dụ dỗ một quản trị viên (hoặc người dùng có quyền khác) truy cập vào trang độc hại (thông qua email lừa đảo, trò chuyện nội bộ hoặc kỹ thuật xã hội).
- Trình duyệt của quản trị viên gửi yêu cầu giả mạo với cookie phiên của họ và trang web xử lý việc xóa tài khoản mà không có xác minh đúng cách.
- Các tài khoản quan trọng có thể bị xóa hoặc vô hiệu hóa, mở ra khả năng gián đoạn hoặc các cuộc tấn công tiếp theo.
Hậu quả trong thế giới thực
- Mất tài khoản quản trị: Gián đoạn ngay lập tức và khả năng bị khóa.
- Gián đoạn trang web: Chức năng quan trọng có thể bị hỏng nếu các tài khoản quản trị bị xóa.
- Chiếm đoạt tài khoản: Kẻ tấn công có thể kết hợp việc xóa với việc tạo người dùng hoặc thay đổi quyền để kiểm soát.
- Các chiến dịch chuỗi cung ứng và quy mô lớn: Các lỗ hổng CSRF dễ dàng có thể được sử dụng trong các chiến dịch hàng loạt để nhắm vào hàng ngàn trang web.
Ai là người có nguy cơ?
- Các trang web chạy plugin Taqnix ở phiên bản <= 1.0.3.
- Các trang web nơi nhiều người dùng có vai trò đặc quyền và có thể bị lừa nhấp vào một liên kết độc hại.
- Các trang web không có 2FA, không có quy trình sao lưu/phục hồi mạnh mẽ và không có bảo vệ mối đe dọa theo thời gian thực.
Nếu bạn chạy plugin — hãy giả định rằng bạn bị ảnh hưởng cho đến khi bạn xác nhận đã cập nhật lên 1.0.4 hoặc phiên bản mới hơn.
Danh sách kiểm tra ngay lập tức — những gì cần làm ngay bây giờ (từ phút đến giờ)
- Cập nhật plugin
- Nhà phát triển đã phát hành phiên bản 1.0.4 sửa lỗi lỗ hổng. Cập nhật là biện pháp khắc phục nhanh nhất và rõ ràng nhất.
- Nếu bạn không thể cập nhật ngay lập tức:
- Tạm thời vô hiệu hóa plugin Taqnix.
- Hoặc giới hạn quyền truy cập vào wp-admin cho các IP đáng tin cậy nếu có thể.
- Hoặc áp dụng quy tắc WAF / bản vá ảo để chặn các yêu cầu nhắm vào hành động dễ bị tổn thương.
- Kiểm tra các tài khoản quản trị và nhật ký:
- Tìm kiếm các xóa gần đây hoặc thay đổi bất ngờ trong wp_users.
- Kiểm tra nhật ký máy chủ web để tìm các POST/GET đáng ngờ đến admin-post.php hoặc các điểm cuối cụ thể của plugin xung quanh thời gian hoạt động đáng ngờ.
- Thiết lập hoặc kích hoạt 2FA cho tất cả người dùng có quyền.
- Thay đổi thông tin đăng nhập cho người dùng có quyền cao nếu bạn phát hiện hoạt động đáng ngờ.
- Khôi phục từ bản sao lưu sạch nếu bạn phát hiện các xóa độc hại và không thể khôi phục theo cách khác.
- Cân nhắc kích hoạt thời gian phiên nghiêm ngặt và đăng xuất ngay lập tức trong các sự kiện đáng ngờ.
Làm thế nào để xác minh nếu bạn bị tấn công
- Kiểm tra bảng người dùng WordPress (wp_users) và usermeta để tìm các tài khoản vừa bị xóa.
- Nếu bạn có bản sao lưu cơ sở dữ liệu, hãy so sánh danh sách người dùng hiện tại với các bản sao lưu trước đó.
- Xem xét nhật ký máy chủ web cho bất kỳ yêu cầu nào đến các điểm cuối hành động của plugin, ví dụ: admin-post.php?action=… hoặc yêu cầu script plugin trực tiếp từ các nguồn không xác định.
- Tìm kiếm các đăng nhập quản trị bất ngờ từ các địa chỉ IP không quen thuộc.
- Kích hoạt gỡ lỗi và kiểm tra nhật ký plugin (nếu plugin cung cấp chúng).
- Tìm kiếm các tệp hoặc sửa đổi mã đáng ngờ; kẻ tấn công thường thêm backdoor sau khi gây rối ban đầu.
Nếu bạn tìm thấy bằng chứng về các xóa đáng ngờ: hành động ngay lập tức — khôi phục tài khoản từ bản sao lưu nếu có thể, thay đổi bí mật, kích hoạt lại người dùng quản trị và thực hiện một cuộc kiểm tra pháp y sâu hơn.
Sửa lỗi của nhà phát triển (những gì plugin nên làm — thực hành tốt nhất)
Bất kỳ hành động nào thay đổi dữ liệu bền vững, đặc biệt là xung quanh quản lý người dùng hoặc tài khoản, phải:
- Kiểm tra khả năng của người dùng: ví dụ current_user_can(‘delete_users’) hoặc current_user_can(‘manage_options’) tùy thuộc vào ý định.
- Sử dụng một nonce WordPress hợp lệ để xác minh ý định.
- Xác minh phương thức HTTP (ưu tiên POST cho các hành động thay đổi trạng thái).
- Làm sạch và xác thực tất cả các đầu vào.
Một ví dụ bảo mật tối thiểu trong mã plugin:
<?php;
<?php;
Nếu bạn duy trì các plugin tùy chỉnh, hãy đảm bảo bạn tuân theo mẫu này — nonces, kiểm tra khả năng, làm sạch đầu vào và sử dụng rõ ràng POST cho các hành động phá hủy.
Ví dụ chữ ký WAF / ModSecurity (bản vá ảo)
Nếu bạn không thể cập nhật ngay lập tức, một bản vá ảo WAF là một giải pháp tạm thời hiệu quả. Dưới đây là một quy tắc ModSecurity mẫu chặn các yêu cầu nghi ngờ nhắm vào một hành động plugin thường được sử dụng để xóa tài khoản. Điều chỉnh giá trị đường dẫn/hành động theo tên hành động plugin thực tế mà bạn phát hiện trong nhật ký.
Quan trọng: Kiểm tra bất kỳ quy tắc nào trên môi trường staging trước để tránh các cảnh báo sai.
# Chặn các nỗ lực xóa tài khoản Taqnix có khả năng mà không có tham số nonce hợp lệ"
Ví dụ nginx + Lua thay thế (chặn đơn giản theo tham số hành động):
location /wp-admin/admin-post.php {
Những ví dụ này cố ý chung chung. Tên hành động thực tế hoặc các tham số được sử dụng bởi plugin có thể khác nhau; kiểm tra nhật ký của bạn để biết tên tham số thực tế của plugin (ví dụ: action=taqnix_delete_user hoặc tương tự) và tạo quy tắc tương ứng.
Cách WP-Firewall bảo vệ bạn trong những tình huống như vậy
Tại WP-Firewall, chúng tôi tập trung vào bảo vệ theo lớp. Đối với loại lỗ hổng cụ thể này, chúng tôi khuyên bạn nên:
- WAF quản lý / Bản vá ảo: Chúng tôi có thể triển khai một bản vá ảo chặn các yêu cầu phù hợp với mẫu khai thác cho điểm cuối Taqnix bị tổn thương. Điều đó giảm bề mặt tấn công trong khi bạn cập nhật.
- Các bộ quy tắc quản lý phát hiện các yêu cầu bảng điều khiển quản trị bất thường và chặn các mẫu yêu cầu thiếu các tham số nonce hoặc referers mong đợi.
- Quét liên tục: Trình quét phần mềm độc hại và giám sát tính toàn vẹn của chúng tôi tìm kiếm các thay đổi bất ngờ đối với các tệp lõi và tệp plugin (bao gồm xóa người dùng quản trị hoặc người dùng quản trị mới không mong đợi).
- Thông báo chủ động: Chúng tôi thông báo cho bạn khi một lỗ hổng như thế này được công bố để bạn có thể cập nhật hoặc để chúng tôi bảo vệ trang web của bạn.
- Hướng dẫn phản ứng sự cố: Nếu bạn gặp phải các trường hợp xóa nghi ngờ, đội ngũ của chúng tôi sẽ hướng dẫn bạn qua các bước kiểm soát, khôi phục và tăng cường.
Nếu bạn không thể vá plugin ngay lập tức — bản vá ảo qua WAF là biện pháp bảo vệ ngay lập tức tốt nhất. Nó cho bạn thời gian để kiểm tra và áp dụng bản cập nhật plugin chính thức mà không để trang web bị lộ.
Ví dụ: Logic bộ quy tắc WAF được khuyến nghị (dễ đọc cho con người)
- Xác định các yêu cầu nhắm vào các điểm cuối xóa người dùng (admin-post.php?action=*, các điểm cuối AJAX cụ thể của plugin).
- Nếu một yêu cầu cố gắng thực hiện hành động phá hủy (xóa, loại bỏ, tiêu diệt) và thiếu tên tham số WP nonce hợp lệ, hãy chặn nó.
- Nếu referer là bên ngoài hoặc thiếu và mục tiêu là một điểm cuối cấp quản trị, hãy chặn hoặc thách thức bằng CAPTCHA.
- Giới hạn tỷ lệ các yêu cầu tương tự từ các IP đơn lẻ để ngăn chặn các nỗ lực hàng loạt.
- Cảnh báo về các nỗ lực bị chặn và ghi lại tải trọng yêu cầu để xem xét pháp y.
Các bước phục hồi sau sự cố (nếu bạn bị ảnh hưởng)
- Thu hồi các phiên bị xâm phạm:
- Sử dụng “Hủy bỏ tất cả các phiên” của WP cho các tài khoản bị ảnh hưởng.
- Buộc đặt lại mật khẩu cho các quản trị viên.
- Khôi phục các tài khoản bị thiếu từ một bản sao lưu tốt khi có thể.
- Thay đổi bí mật: thay đổi các khóa trong wp-config.php (AUTH_KEY, SECURE_AUTH_KEY, v.v.) và bất kỳ mã thông báo API nào.
- Chạy quét phần mềm độc hại đầy đủ và quét tính toàn vẹn tệp.
- Cài đặt lại hoặc cập nhật plugin lên phiên bản đã vá 1.0.4.
- Điều tra nhật ký để xác định vector truy cập ban đầu.
- Xem xét một cuộc đánh giá sự cố chuyên nghiệp nếu bạn thấy bằng chứng về cửa hậu hoặc truy cập kéo dài.
Mẹo phát hiện và kiểm tra nội bộ
- Kiểm tra nhật ký gỡ lỗi WordPress:
- Bật WP_DEBUG_LOG tạm thời và theo dõi các hành động của quản trị viên xung quanh thời gian hành vi đáng ngờ.
- Cơ sở dữ liệu:
- Sử dụng bản sao lưu nhị phân hoặc có dấu thời gian để so sánh danh sách người dùng.
- Nhật ký HTTP:
- Tìm kiếm các yêu cầu admin-post.php với các tham số đáng ngờ từ các referer lạ.
- Thông báo:
- Thiết lập cảnh báo về việc xóa tài khoản hoặc thay đổi quyền (các tính năng giám sát trang web hoặc plugin bảo mật có thể gửi thông báo ngay lập tức).
Các biện pháp giảm thiểu lâu dài cho quản trị viên WordPress
- Giữ WordPress, các chủ đề và plugin luôn được cập nhật.
- Giới hạn số lượng quản trị viên và sử dụng nguyên tắc quyền hạn tối thiểu (chỉ cung cấp cho người dùng những khả năng họ cần).
- Thực thi mật khẩu mạnh và yêu cầu xác thực hai yếu tố cho các tài khoản cấp quản trị.
- Sử dụng phân tách vai trò: sử dụng vai trò biên tập viên/người đóng góp cho nội dung, chỉ dành vai trò quản trị cho việc bảo trì.
- Thường xuyên kiểm tra các plugin về bảo trì và hồ sơ an ninh; gỡ bỏ các plugin không sử dụng.
- Duy trì sao lưu thường xuyên (ngoài site) và kiểm tra quy trình khôi phục.
- Sử dụng WAF cung cấp vá lỗi ảo và giám sát để giảm rủi ro giữa các khoảng thời gian công bố và vá lỗi.
- Đào tạo đội ngũ của bạn nhận diện các liên kết lừa đảo và độc hại để giảm rủi ro từ các mánh khóe kỹ thuật xã hội CSRF.
Mẫu thông tin liên lạc cho chủ sở hữu và nhân viên trang web (mẫu)
Nếu bạn là một đại lý hoặc quản lý các trang web cho khách hàng, hãy sử dụng mẫu ngắn này để thông báo cho các bên liên quan:
Chủ thể: Thông báo An ninh — Cần cập nhật plugin Taqnix (Rủi ro CSRF có thể dẫn đến xóa tài khoản)
Chào đội,
Một lỗ hổng CSRF (CVE-2026-3565) ảnh hưởng đến plugin Taqnix WordPress (<= 1.0.3) đã được công bố vào ngày 23 tháng 4 năm 2026. Nó có thể cho phép xóa tài khoản nếu một người dùng có quyền truy cập tương tác với một trang được tạo ra.
Các hành động chúng tôi đang thực hiện:
- Đang cập nhật plugin Taqnix lên 1.0.4 trên tất cả các trang bị ảnh hưởng ngay bây giờ.
- Đang áp dụng quy tắc WAF tạm thời để chặn các nỗ lực khai thác cho đến khi việc vá lỗi hoàn tất.
- Thực thi xác thực hai yếu tố cho tất cả các vai trò quản trị.
- Kiểm tra các tài khoản quản trị và nhật ký cho bất kỳ hoạt động đáng ngờ nào.
Nếu bạn nhận được bất kỳ liên kết hoặc tin nhắn đáng ngờ nào, xin đừng nhấp vào chúng. Liên hệ với [liên hệ đội ngũ an ninh] ngay lập tức nếu bạn nhận thấy hành vi bất thường.
Cảm ơn,
[Đội ngũ An ninh của bạn / Đội ngũ WP-Firewall]
Danh sách kiểm tra vệ sinh mã cho các tác giả plugin
Nếu bạn là nhà phát triển hoặc tác giả plugin, hãy làm theo danh sách kiểm tra này cho các hành động thay đổi trạng thái:
- Sử dụng wp_verify_nonce / check_admin_referer trên tất cả các trình xử lý biểu mẫu.
- Sử dụng current_user_can với khả năng đúng.
- Ưu tiên POST cho các hành động phá hủy (không bao giờ sử dụng GET).
- Làm sạch và xác thực tất cả các đầu vào (sanitize_text_field, intval, v.v.).
- Ghi lại các hành động quan trọng và gửi thông báo cho quản trị viên về những thay đổi tài khoản đáng kể.
- Sử dụng khả năng ít quyền nhất cho các hành động tùy chỉnh.
Tại sao điểm CVSS “thấp” không có nghĩa là “không có rủi ro”
Các điểm số CVSS số là hữu ích cho việc phân loại nhưng chúng không thể hiện đầy đủ bức tranh. Một lỗ hổng yêu cầu tương tác của người dùng hoặc điều kiện cụ thể vẫn có thể bị khai thác hàng loạt bằng cách sử dụng kỹ thuật xã hội hoặc các chiến dịch nhắm mục tiêu. Bởi vì vấn đề cụ thể này ảnh hưởng đến quy trình xóa tài khoản, tác động đến một trang web có thể rất nghiêm trọng ngay cả khi chuỗi khai thác thô tương đối đơn giản. Hãy coi trọng những lỗ hổng như vậy và phản ứng nhanh chóng.
Về nhà nghiên cứu và việc công bố có trách nhiệm
Vấn đề này đã được công bố công khai và được gán CVE-2026-3565. Danh tiếng đã được trao cho nhà nghiên cứu bảo mật đã công bố có trách nhiệm vấn đề này. Các tác giả plugin đã phát hành phiên bản 1.0.4 để khắc phục sự cố. Nếu bạn duy trì các plugin, hãy làm theo các thực tiễn công bố có trách nhiệm và công bố nhật ký thay đổi rõ ràng về các bản sửa lỗi bảo mật để giúp các chủ sở hữu trang web ưu tiên việc vá lỗi.
Bảo mật quyền truy cập quản trị của bạn với một kế hoạch WP-Firewall miễn phí
Bảo vệ tài khoản quản trị là một trong những nhiệm vụ quan trọng nhất đối với bất kỳ chủ sở hữu trang WordPress nào. Kế hoạch Cơ bản (Miễn phí) của WP-Firewall cung cấp các biện pháp phòng ngừa thiết yếu giúp giảm thiểu rủi ro của các cuộc tấn công tài khoản dựa trên CSRF và các mối đe dọa phổ biến khác: một tường lửa được quản lý với các quy tắc WAF, băng thông không giới hạn, quét phần mềm độc hại liên tục và bảo vệ cho các rủi ro OWASP Top 10. Nếu bạn đang chạy các plugin có thể bị tổn thương và cần một mạng lưới an toàn nhanh chóng trong khi bạn vá lỗi, kế hoạch miễn phí cung cấp cho bạn sự bảo vệ được quản lý ngay lập tức và sự yên tâm. Tìm hiểu thêm và đăng ký kế hoạch miễn phí tại đây: https://my.wp-firewall.com/buy/wp-firewall-free-plan/
(Nếu bạn cần nhiều tự động hóa hơn, kế hoạch Tiêu chuẩn thêm khả năng xóa phần mềm độc hại tự động và danh sách đen/trắng IP, và kế hoạch Chuyên nghiệp bao gồm báo cáo bảo mật hàng tháng và vá lỗ hổng ảo tự động — tất cả với mức giá hàng năm minh bạch.)
Khuyến nghị cuối cùng — những gì chúng tôi muốn bạn làm tiếp theo (theo thứ tự ưu tiên)
- Cập nhật Taqnix lên phiên bản 1.0.4 ngay lập tức.
- Nếu bạn không thể cập nhật ngay lập tức, hãy tạm thời vô hiệu hóa plugin hoặc áp dụng một bản vá ảo WAF.
- Kiểm tra người dùng quản trị và nhật ký để tìm các xóa hoặc thay đổi đáng ngờ.
- Thực thi 2FA cho tất cả các tài khoản có quyền.
- Áp dụng nguyên tắc quyền hạn tối thiểu và giảm số lượng tài khoản quản trị.
- Đăng ký dịch vụ bảo mật được quản lý hoặc WAF để nhận các bản vá ảo và bảo vệ thời gian thực trong khi bạn quản lý các bản cập nhật.
Cần giúp đỡ? WP-Firewall có thể hỗ trợ
Nếu bạn gặp khó khăn khi nâng cấp, hoặc bạn phát hiện hoạt động đáng ngờ và cần giúp khôi phục tài khoản, WP-Firewall cung cấp hỗ trợ sự cố, vá lỗi ảo được quản lý và phân tích pháp y sâu hơn. Các quy tắc WAF được quản lý của chúng tôi có thể được triển khai trong vài giờ, không phải vài ngày, để giảm thiểu rủi ro ngay lập tức trong khi bạn xử lý việc vá lỗi và khôi phục.
Nhớ rằng: các lỗ hổng như thế này được sửa chữa nhanh chóng bởi các tác giả plugin — nhưng khoảng thời gian giữa việc công bố và khai thác rộng rãi là nơi xảy ra hầu hết thiệt hại. Đừng chờ đợi. Cập nhật, bảo vệ, giám sát.
— Đội ngũ Bảo mật WP-Firewall
