Tên plugin	Real Homes CRM
Loại lỗ hổng	Lỗ hổng tải lên tệp
Số CVE	CVE-2025-67968
Tính cấp bách	Cao
Ngày xuất bản CVE	2026-01-23
URL nguồn	CVE-2025-67968

Thông báo bảo mật khẩn cấp — Tải lên tệp tùy ý trong Real Homes CRM (≤ 1.0.0)

CVE: CVE-2025-67968 | Mức độ nghiêm trọng: Cao (CVSS 9.9) | Đã sửa trong: 1.0.1 | Đã xuất bản: 21 Tháng 1, 2026

Là đội ngũ đứng sau WP-Firewall, chúng tôi muốn đảm bảo rằng mọi chủ sở hữu trang WordPress, nhà phát triển và cơ quan chịu trách nhiệm cho các trang sử dụng plugin Real Homes CRM đều hiểu được rủi ro và các bước cần thiết ngay lập tức để bảo vệ các trang web.

Một lỗ hổng tải lên tệp tùy ý nghiêm trọng (CVE-2025-67968) ảnh hưởng đến các phiên bản plugin Real Homes CRM ≤ 1.0.0. Lỗ hổng cho phép người dùng có quyền hạn cấp Đăng ký tải lên các tệp tùy ý lên trang web, có thể được sử dụng để giới thiệu backdoor, webshell, hoặc thực thi mã trên máy chủ. Nhà cung cấp đã phát hành phiên bản 1.0.1 để giải quyết vấn đề — việc cập nhật là cách khắc phục dứt điểm. Dưới đây chúng tôi giải thích điều này có nghĩa là gì, tại sao nó lại nguy hiểm, cách mà kẻ tấn công có thể khai thác nó, và hướng dẫn từng bước về cách kiểm soát, phát hiện và khắc phục mà bạn có thể thực hiện ngay lập tức (với cả các bước thực hiện và biện pháp giảm thiểu dựa trên WAF).

Mục lục

• Điều gì đã xảy ra (tóm tắt)
• Tại sao lỗ hổng này lại nguy hiểm như vậy
• Ai bị ảnh hưởng
• Cách mà kẻ tấn công thường khai thác các lỗ hổng tải lên tệp tùy ý
• Các hành động ngay lập tức bạn nên thực hiện ngay bây giờ (được ưu tiên)
• Phát hiện và điều tra — những gì cần tìm (IOC & lệnh)
• Khắc phục & tăng cường (máy chủ, WordPress, cấp độ plugin)
• Các quy tắc giảm thiểu ví dụ và đoạn mã .htaccess bạn có thể áp dụng ngay bây giờ
• Danh sách kiểm tra phục hồi và sau sự cố
• Cách WP-Firewall bảo vệ bạn (bao gồm cả kế hoạch miễn phí của chúng tôi)
• Khuyến nghị cuối cùng

---

Điều gì đã xảy ra (tóm tắt)

Các nhà nghiên cứu đã công bố một lỗ hổng tải lên tệp tùy ý trong plugin Real Homes CRM cho WordPress ảnh hưởng đến các phiên bản lên đến và bao gồm 1.0.0. Vấn đề cho phép một người dùng đã xác thực có quyền hạn thấp (vai trò Đăng ký) tải lên các tệp mà plugin không xác thực hoặc hạn chế đúng cách, cho phép kẻ tấn công đặt các tệp thực thi trên thư mục gốc web của bạn (ví dụ, dưới wp-content/uploads hoặc các thư mục plugin khác). Những tệp này sau đó có thể được thực thi để có quyền truy cập cao hơn hoặc tồn tại trên trang.

Nhà cung cấp đã phát hành một bản cập nhật (1.0.1) giải quyết vấn đề. Nếu bạn đang chạy một phiên bản dễ bị tổn thương, bạn phải coi đây là một bản cập nhật khẩn cấp.

---

Tại sao lỗ hổng này lại nguy hiểm như vậy

Các lỗ hổng tải lên tệp tùy ý là một trong những điểm yếu bị lạm dụng nhiều nhất trên các trang WordPress vì chúng cung cấp cho kẻ tấn công một con đường đơn giản để thực thi mã từ xa:

• Một tệp PHP được tải lên (webshell/backdoor) cho phép thực thi lệnh, truy cập cơ sở dữ liệu và tăng quyền.
• Các tệp đã tải lên có thể được sử dụng để chuyển tiếp đến các trang khác trên cùng một máy chủ hoặc để khai thác thông tin đăng nhập và dữ liệu.
• Ngay cả các tệp không phải PHP (ví dụ: JSP, ASP trên các máy chủ cấu hình sai) cũng có thể bị lợi dụng trong các môi trường phân tách kém.
• Điểm CVSS cho vấn đề này rất cao (9.9), phản ánh khả năng bị xâm phạm toàn bộ trang web và mất dữ liệu.
• Độ phức tạp của cuộc tấn công là thấp: một kẻ tấn công chỉ cần một tài khoản có quyền Người đăng ký và có thể thực hiện cuộc tấn công qua mạng mà không cần tương tác thêm từ người dùng.

Bởi vì nhiều trang WordPress cho phép đăng ký người dùng, loại lỗ hổng này đặc biệt nguy hiểm cho các trang chấp nhận đăng ký người dùng (thành viên, trang danh sách, môi giới, trang bất động sản, v.v.). Một tác nhân độc hại có thể đăng ký, tải lên một tệp và ngay lập tức thực thi một backdoor.

---

Ai bị ảnh hưởng

• Các trang web sử dụng plugin Real Homes CRM WordPress, phiên bản ≤ 1.0.0.
• Lỗ hổng chỉ yêu cầu quyền Người đăng ký, có nghĩa là bất kỳ trang nào nơi đăng ký người dùng mới được bật (hoặc nơi đã có Người đăng ký) đều có nguy cơ.
• Các máy chủ nơi thực thi PHP được phép trong các thư mục tải lên (mặc định trên nhiều máy chủ chia sẻ) đặc biệt có nguy cơ.

Phiên bản cố định: 1.0.1 — cập nhật ngay lập tức.

---

Cách mà kẻ tấn công thường khai thác các lỗ hổng tải lên tệp tùy ý

Kẻ tấn công sẽ tìm kiếm các điểm cuối chấp nhận tải lên tệp và cố gắng đẩy các tệp có tên:

• Được đặt tên với các phần mở rộng PHP thông thường (.php, .phtml).
• Chứa các payload bị làm rối (base64_decode + eval, gzinflate, preg_replace với /e, v.v.) để tránh các quét ngây thơ.
• Được tải lên bằng các yêu cầu POST multipart/form-data đến các điểm cuối của plugin hoặc qua các điểm cuối AJAX.
• Cố gắng vượt qua các kiểm tra phần mở rộng đơn giản bằng cách sử dụng tên tệp như shell.php\x00.jpg (tấn công byte null trên các phiên bản PHP cũ hơn) hoặc các phần mở rộng kép file.php.jpg khi máy chủ chỉ dựa vào việc chặn dựa trên tên tệp.

Quy trình khai thác phổ biến:

1. Đăng ký một tài khoản hoặc sử dụng một Người đăng ký hiện có.
2. Gửi một yêu cầu tải lên được chế tạo đến trình xử lý tải lên của plugin.
3. Tải lên một webshell/backdoor PHP.
4. Truy cập tệp đã tải lên qua trình duyệt để thực thi các lệnh hoặc tiếp tục chuyển tiếp.

---

Hành động ngay lập tức — những gì bạn phải làm ngay bây giờ (theo thứ tự ưu tiên)

Nếu bạn quản lý bất kỳ trang WordPress nào sử dụng Real Homes CRM, hãy làm theo danh sách ưu tiên này. Thực hiện từng bước càng sớm càng tốt.

1. Cập nhật plugin lên phiên bản 1.0.1 (hoặc mới hơn)
   • Đây là bản sửa chữa cuối cùng. Cập nhật từ bảng điều khiển WordPress của bạn hoặc qua SFTP/CLI.
   • Nếu bạn không thể cập nhật ngay lập tức, hãy tiến hành các biện pháp giảm thiểu bên dưới.
2. Nếu bạn không thể cập nhật ngay lập tức — vô hiệu hóa plugin
   • Trong ngắn hạn, hãy vô hiệu hóa plugin Real Homes CRM cho đến khi bạn có thể áp dụng bản vá.
   • Điều này ngăn chặn các đường dẫn mã dễ bị tổn thương không thể truy cập.
3. Áp dụng quy tắc WAF hoặc bản vá ảo
   • Chặn các nỗ lực tải tệp lên các điểm cuối của plugin và chặn tải lên các loại tệp thực thi vào các thư mục tải lên.
   • Khách hàng WP-Firewall nhận được các quy tắc giảm thiểu chặn các chữ ký khai thác đã biết cho lỗ hổng này; người dùng miễn phí nhận được các biện pháp bảo vệ WAF được quản lý cốt lõi giúp giảm thiểu các rủi ro OWASP Top 10 (xem chi tiết kế hoạch bên dưới).
4. Quét ngay lập tức trang web để tìm các tệp không được phép và web shells
   • Tìm các tệp PHP mới được tạo trong các thư mục tải lên, plugin, chủ đề và trong wp-content.
   • Xem phần Phát hiện bên dưới để biết các lệnh và mẫu cụ thể.
5. Thay đổi mật khẩu và xem xét các tài khoản người dùng
   • Đặt lại tài khoản quản trị và các tài khoản có quyền khác.
   • Tìm các người dùng quản trị mới được tạo và xóa các người dùng đáng ngờ.
   • Buộc đặt lại mật khẩu cho các người dùng khác nếu bạn nghi ngờ bị xâm phạm.
6. Kiểm tra nhật ký cho các yêu cầu POST / tải tệp đáng ngờ
   • Nhật ký máy chủ web và ứng dụng sẽ hiển thị các nỗ lực truy cập vào điểm cuối dễ bị tổn thương và tên tệp đã tải lên.
   • Lưu và bảo tồn nhật ký cho bất kỳ cuộc điều tra pháp y nào.
7. Sao lưu trang web và bảo tồn một bản sao của trạng thái hiện tại
   • Nếu có phần mềm độc hại, hãy chụp ảnh/sao lưu cho pháp y trước khi xóa bất kỳ thứ gì.
   • Chuẩn bị một hình ảnh phục hồi sạch sẽ nếu việc khắc phục yêu cầu khôi phục từ sao lưu.
8. Nếu sự xâm phạm được xác nhận - hãy xem xét việc xây dựng lại toàn bộ trang web từ các nguồn sạch đã biết
   • Việc làm sạch một trang web bị xâm phạm có thể dễ mắc lỗi. Nếu bạn có nghi ngờ, hãy xây dựng lại WordPress, các chủ đề và plugin từ các nguồn mới và khôi phục nội dung đã được làm sạch từ sao lưu.

---

Phát hiện và điều tra - những gì cần tìm

Dưới đây chúng tôi cung cấp các bước và lệnh phát hiện thực tế mà bạn có thể chạy trên một máy chủ Linux/SSH. Đây là các bước điều tra chung sẽ giúp bạn xác định dấu hiệu lạm dụng tải tệp tùy ý hoặc webshells.

Tìm các tệp đáng ngờ trong các thư mục tải lên và plugin:

• Tìm các tệp PHP vừa được sửa đổi hoặc thêm vào trong wp-content/uploads:

# Tìm các tệp PHP trong thư mục tải lên (được tạo/sửa đổi trong 30 ngày qua)

• Tìm kiếm các mẫu webshell phổ biến (base64, eval, gzinflate, preg_replace với /e):

# Grep cho các mẫu đáng ngờ

• Kiểm tra các tác vụ cron đáng ngờ hoặc các tác vụ đã lên lịch:

# Liệt kê các tác vụ wp-cron qua WP-CLI

• Xem xét nhật ký truy cập máy chủ web cho các POST bất thường đến các điểm cuối plugin:
  • Tìm các bài đăng (POST) để /wp-admin/admin-ajax.php với các tham số tham chiếu đến plugin, hoặc các POST trực tiếp đến các đường dẫn plugin.
  • Ghi lại địa chỉ IP, dấu thời gian, tác nhân người dùng và các mẫu lặp lại.

• Kiểm tra dấu thời gian sửa đổi tệp trên toàn bộ trang web:

# Tìm các tệp đã được sửa đổi trong 7 ngày qua

Các chỉ số xâm phạm (IoCs) bạn nên chú ý:

• Các tệp PHP mới bên trong wp-content/uploads hoặc thư mục plugin.
• Các tệp có tên bất thường, tên ngẫu nhiên dài, hoặc tên như wp-config-old.php, wp-cache.php, tmp.php.
• Các tệp chứa base64_decode, đánh giá kết hợp, hệ thống(, exec(, thông qua(.
• Đăng nhập cấp quản trị bất thường từ các địa chỉ IP không xác định.
• Các tác vụ đã lên lịch bất ngờ hoặc các mục tùy chọn cơ sở dữ liệu mà vẫn duy trì việc thực thi mã.

Nếu bạn tìm thấy bất kỳ tệp nghi ngờ nào, đừng xóa ngay lập tức nếu bạn cần bằng chứng pháp y — thay vào đó, hãy cách ly nó, sao chép để phân tích, và xóa nó sau khi ghi lại bằng chứng.

---

Khắc phục & tăng cường (máy chủ, WordPress, cấp độ plugin)

Khi bạn đã phát hiện và kiểm soát bất kỳ sự khai thác nào, hãy làm theo các bước khắc phục và tăng cường lâu dài này.

1. Vá lỗi: 2. Cập nhật Real Homes CRM lên phiên bản 1.0.1 hoặc mới hơn
   • Xác nhận phiên bản plugin đã được cập nhật và xóa.
2. Xóa các tệp độc hại
   • Xóa các webshell đã được xác nhận và các tệp không được phép. Sử dụng dấu thời gian tệp, lịch sử git, hoặc bản sao lưu để so sánh.
   • Nếu không chắc chắn, hãy khôi phục từ một bản sao lưu đã biết là sạch.
3. Củng cố thư mục tải lên (vô hiệu hóa thực thi PHP)
   • Ngăn chặn thực thi PHP trong các khu vực tải lên bằng cách thêm quy tắc vào cấu hình máy chủ web của bạn hoặc .htaccess (ví dụ bên dưới).
4. Thực thi xác thực loại tệp tại các điểm tải lên
   • Ở cấp độ mã, sử dụng các hàm WordPress như wp_check_filetype_and_ext và wp_handle_upload. Xác thực loại MIME và kiểm tra chữ ký nội dung tệp, không chỉ là phần mở rộng.
5. Quyền và quyền sở hữu tệp
   • Tệp: 644, Thư mục: 755 là một mức an toàn chung. Tránh 777. Đảm bảo người dùng máy chủ web chỉ sở hữu những gì cần thiết.
   • Ví dụ:
     • Thư mục: chmod 755
     • Tệp: chmod 644
6. Nguyên tắc đặc quyền tối thiểu
   • Hạn chế tài khoản WordPress — không cấp quyền cao hơn trừ khi cần thiết.
   • Vô hiệu hóa hoặc giới hạn đăng ký người dùng mới nếu không cần thiết.
7. Ghi nhật ký và giám sát
   • Đảm bảo có nhật ký kiểm toán cho các tệp tải lên và hành động quản trị.
   • Cấu hình WAF/IDS để cảnh báo về các nỗ lực tải lên và yêu cầu POST đáng ngờ.
8. Xoay vòng thông tin xác thực
   • Thay đổi mật khẩu cho các tài khoản quản trị WordPress, SFTP, người dùng cơ sở dữ liệu và bất kỳ khóa API nào.
9. Thông báo cho các bên liên quan bị ảnh hưởng
   • Nếu xảy ra vi phạm, thông báo cho chủ sở hữu trang web, người dùng hoặc khách hàng theo yêu cầu của pháp luật và chính sách.
10. Xem xét và cập nhật kế hoạch phản ứng sự cố
    • Đảm bảo bạn có các bước để nhanh chóng áp dụng các bản cập nhật plugin và các biện pháp giảm thiểu WAF trong tương lai.

---

Các quy tắc giảm thiểu ví dụ & đoạn mã .htaccess bạn có thể áp dụng ngay bây giờ

Dưới đây là các đoạn mã thực tế để chặn hoặc hạn chế các nỗ lực khai thác. Đây là các quy tắc chung và nên được điều chỉnh cho môi trường của bạn và thử nghiệm trên môi trường staging trước.

Vô hiệu hóa thực thi PHP trong wp-content/uploads (Apache .htaccess)

# Đặt điều này vào /wp-content/uploads/.htaccess

Cấu hình Nginx để từ chối thực thi PHP trong các tệp tải lên

location ~* /wp-content/uploads/.*\.(php|phtml|php3|php4|php5|phps)$ {

Quy tắc WAF tạm thời (giả / tổng quát)

• Chặn bất kỳ POST multipart/form-data nào đến điểm tải lên của plugin trừ khi:
  • Yêu cầu xuất phát từ các IP quản trị viên đã xác thực HOẶC
  • Yêu cầu mang một nonce hợp lệ được xác thực phía máy chủ

Ví dụ logic quy tắc giả:

• Nếu đường dẫn yêu cầu khớp với /wp-content/plugins/realhomes-crm/*upload* VÀ yêu cầu chứa tải lên tệp:
  • Chặn trừ khi người dùng có khả năng quản trị hoặc biên tập viên VÀ có nonce hợp lệ

Chặn các mẫu tải lên tệp PHP đáng ngờ (phần mở rộng + nội dung)

• Nếu tên tệp tải lên kết thúc bằng .php hoặc nội dung khớp <?php và không đến từ một quản trị viên đáng tin cậy, chặn.

Quan trọng: Tránh các quy tắc quá rộng gây hỏng chức năng hợp pháp. Kiểm tra các quy tắc trên một phiên bản staging hoặc bật chế độ chỉ theo dõi trước.

---

Hướng dẫn cho nhà phát triển — cách mà điều này nên được ngăn chặn trong mã

Nếu bạn là nhà phát triển plugin, đây là các thực hành phòng thủ cốt lõi sẽ ngăn chặn loại lỗ hổng này:

• 3. Kiểm tra khả năng: đảm bảo các điểm tải lên xác minh current_user_can('upload_files') 4. (hoặc khả năng mạnh hơn) và kiểm tra nonce để bảo vệ CSRF.
• 5. Làm sạch tên tệp: loại bỏ hoặc chuẩn hóa các ký tự nghi ngờ, sử dụng wp_unique_filename 6. để tránh ghi đè.
• 7. Xác thực loại tệp đúng cách: sử dụng wp_check_filetype_and_ext() 8. wp_handle_upload.
• Giới hạn các phần mở rộng và loại MIME được phép; ưu tiên chỉ hình ảnh nếu tính năng của bạn không yêu cầu các loại khác.
• Tránh ghi tệp vào các thư mục có kích hoạt thực thi PHP.
• Ghi lại hoạt động tải lên với ID người dùng, dấu thời gian và địa chỉ IP.
• Giới hạn tốc độ tải lên trên các vai trò không đáng tin cậy (ví dụ: Người đăng ký) hoặc yêu cầu phê duyệt của quản trị viên.
• Sử dụng các API của WordPress (9. , v.v.) và tránh xử lý tải lên không an toàn tùy chỉnh., wp_nonce_field, v.v.) và tránh xử lý tải lên không an toàn tùy chỉnh.

---

Danh sách kiểm tra phục hồi và sau sự cố

Nếu bạn xác nhận một sự xâm phạm, hãy tuân theo quy trình dọn dẹp và phục hồi nghiêm ngặt:

1. Cô lập và bảo quản bằng chứng
   • Tạo các bản chụp nhanh của ổ đĩa, cơ sở dữ liệu và nhật ký trước khi thực hiện thay đổi.
2. Đưa trang web ngoại tuyến nếu cần thiết
   • Tạm thời hạn chế quyền truy cập trong khi dọn dẹp để ngăn chặn thiệt hại thêm.
3. Cập nhật mọi thứ
   • Lõi WordPress, chủ đề, plugin (bao gồm Real Homes CRM từ 1.0.1+).
4. Xóa tất cả các tệp không được ủy quyền
   • Sử dụng các lệnh phát hiện ở trên và xác minh việc xóa.
5. Đặt lại thông tin xác thực và xoay vòng bí mật
   • Người dùng WordPress, mật khẩu cơ sở dữ liệu, mã thông báo API, khóa SSH.
6. Xác minh tính toàn vẹn
   • So sánh các tệp plugin/chủ đề với các bản sao gốc (từ WordPress.org / nguồn nhà cung cấp) bằng cách sử dụng kiểm tra tổng hoặc tải xuống mới.
7. Quét lại để tìm phần mềm độc hại
   • Sử dụng nhiều trình quét hoặc dịch vụ bảo mật đáng tin cậy.
8. Khôi phục từ bản sao lưu sạch nếu có nghi ngờ
   • Nếu việc dọn dẹp không thể được đảm bảo, hãy xây dựng lại từ bản sao lưu sạch và chỉ di chuyển nội dung đã được làm sạch.
9. Kích hoạt lại việc giám sát và cập nhật báo cáo sự cố
   • Đảm bảo rằng việc ghi lại chi tiết hơn và cảnh báo đã được thiết lập.
10. Học hỏi và cải thiện
    • Cập nhật danh sách kiểm tra phê duyệt plugin của bạn, tài liệu tăng cường bảo mật và quy trình tiếp nhận cho khách hàng mới để bao gồm việc vá lỗi ngay lập tức.

---

WP-Firewall bảo vệ bạn như thế nào

Tại WP-Firewall, chúng tôi cung cấp các biện pháp bảo vệ đa lớp được thiết kế cho các trang WordPress — bao gồm tường lửa quản lý, WAF, quét phần mềm độc hại và giảm thiểu nhanh chóng. Đối với loại lỗ hổng cụ thể này, chúng tôi cung cấp:

• Các quy tắc tường lửa quản lý chặn các mẫu khai thác đã biết cho các cuộc tấn công tải lên tệp tùy ý.
• Vá ảo (các quy tắc giảm thiểu) để củng cố các điểm cuối trước khi bạn có thể cập nhật một plugin.
• Quét liên tục để tìm các tệp và mẫu mã đáng ngờ.
• Giảm thiểu các rủi ro OWASP Top 10 như một phần của sự bảo vệ được quản lý của chúng tôi.

Nếu bạn đang bảo vệ một số lượng lớn các trang hoặc trang của khách hàng, việc tích hợp một WAF quản lý cộng với quét định kỳ và giảm thiểu tự động có thể là sự khác biệt giữa một cuộc tấn công bị chặn và một sự xâm phạm hoàn toàn.

---

Điểm nổi bật của kế hoạch: Bắt đầu bảo vệ với Kế hoạch Miễn phí của chúng tôi ngay hôm nay

Tiêu đề: Bảo vệ trang của bạn ngay lập tức — thử WP-Firewall Basic (Miễn phí)

Chúng tôi đã thiết kế một kế hoạch Miễn phí Cơ bản để mọi trang WordPress đều có quyền truy cập vào các biện pháp bảo vệ thiết yếu. Kế hoạch Cơ bản bao gồm một tường lửa quản lý, băng thông không giới hạn, một WAF, một trình quét phần mềm độc hại và giảm thiểu chủ động cho các rủi ro OWASP Top 10 — đủ để giảm đáng kể nguy cơ bị khai thác bởi loại lỗ hổng này trong khi bạn áp dụng các bản vá và hoàn thành các bước phục hồi.

Khám phá kế hoạch Cơ bản (Miễn phí) và đăng ký tại đây:
https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Nếu bạn cần nâng cấp thêm, các kế hoạch Tiêu chuẩn và Chuyên nghiệp của chúng tôi thêm vào việc loại bỏ phần mềm độc hại tự động, danh sách đen/trắng IP, báo cáo hàng tháng, vá ảo tự động và các tùy chọn hỗ trợ dành riêng cho các cơ quan và nhà cung cấp dịch vụ.

---

Khuyến nghị cuối cùng (danh sách kiểm tra thực tế)

• Cập nhật plugin Real Homes CRM lên 1.0.1 (hoặc phiên bản mới hơn) ngay lập tức.
• Nếu bạn không thể cập nhật ngay lập tức, hãy vô hiệu hóa plugin và kích hoạt các biện pháp giảm thiểu WAF để chặn các nỗ lực tải lên.
• Quét các tệp và lệnh đáng ngờ, và lưu giữ nhật ký để phân tích.
• Củng cố thư mục tải lên để ngăn chặn việc thực thi PHP.
• Thực thi quyền tối thiểu cho việc đăng ký người dùng; vô hiệu hóa đăng ký công khai nếu không cần thiết.
• Triển khai giám sát và các quy tắc tự động cho các lỗ hổng trong tương lai để bạn có thể phản ứng nhanh hơn.

Chúng tôi hiểu sự hoảng loạn xảy ra khi một lỗ hổng plugin quan trọng được công bố. Nếu bạn muốn hỗ trợ trực tiếp, WP-Firewall cung cấp các quy tắc giảm thiểu được quản lý và dịch vụ phản ứng sự cố. Kế hoạch Miễn phí Cơ bản của chúng tôi cung cấp các biện pháp bảo vệ thiết yếu ngay lập tức giúp giảm bề mặt tấn công trong khi bạn vá và điều tra — đăng ký tại https://my.wp-firewall.com/buy/wp-firewall-free-plan/ để bắt đầu.

---

Nếu bạn cần một phản ứng sự cố tùy chỉnh, giúp áp dụng các biện pháp giảm thiểu được liệt kê ở trên, hoặc một cuộc kiểm toán về vai trò người dùng WordPress và quyền truy cập tệp của bạn, đội ngũ bảo mật WP-Firewall của chúng tôi sẵn sàng hỗ trợ. Hãy giữ an toàn và cập nhật kịp thời.