| Tên plugin | Plugin Đăng Nhập & Đăng Ký JAY WordPress |
|---|---|
| Loại lỗ hổng | Lỗ hổng xác thực |
| Số CVE | CVE-2025-14440 |
| Tính cấp bách | Cao |
| Ngày xuất bản CVE | 2025-12-16 |
| URL nguồn | CVE-2025-14440 |
KHẨN CẤP: Bỏ Qua Xác Thực trong Đăng Nhập & Đăng Ký JAY (<= 2.4.01) — Những gì Chủ Sở Hữu Trang WordPress Cần Làm Ngay Bây Giờ
Tác giả: Nhóm bảo mật WP‑Firewall
Ngày: 2025-12-16
Thẻ: WordPress, Bảo Mật, Lỗ Hổng, Bỏ Qua Xác Thực, WAF, Phản Ứng Sự Cố
Bản tóm tắt: Một lỗ hổng xác thực bị hỏng nghiêm trọng (CVE-2025-14440) ảnh hưởng đến plugin Đăng Nhập & Đăng Ký JAY (các phiên bản <= 2.4.01) đã được công bố vào ngày 16 tháng 12 năm 2025. CVSS 9.8. Lỗi này cho phép các kẻ tấn công không được xác thực bỏ qua xác thực bằng cách thao tác logic dựa trên cookie. Nếu bạn đang chạy plugin này, bạn phải hành động ngay lập tức — hãy làm theo các bước giảm thiểu và phát hiện bên dưới.
Tại sao điều này quan trọng (ngắn gọn)
Các lỗ hổng xác thực bị hỏng là một trong những vấn đề nguy hiểm nhất đối với các trang WordPress. Một kẻ tấn công thành công trong việc bỏ qua xác thực có thể thực hiện các hành động thường bị hạn chế cho quản trị viên — tạo hoặc sửa đổi người dùng, tiêm backdoor, thay đổi nội dung, hoặc chuyển sang các phần khác của môi trường lưu trữ. Vấn đề cụ thể này vừa có mức độ nghiêm trọng cao vừa có thể khai thác mà không cần thông tin xác thực hợp lệ, điều này có nghĩa là thời gian là rất quan trọng.
Những gì chúng tôi biết về lỗ hổng
- Phần mềm bị ảnh hưởng: Plugin Đăng Nhập & Đăng Ký JAY WordPress
- Các phiên bản dễ bị tổn thương: <= 2.4.01
- Phân loại: Xác Thực Bị Hỏng (OWASP A07 / Các Lỗi Nhận Dạng & Xác Thực)
- CVE: CVE-2025-14440
- Mức độ nghiêm trọng: Cao (CVSS 9.8)
- Quyền hạn yêu cầu: Không xác thực (không cần đăng nhập)
- Ngày công bố: 16 tháng 12 năm 2025
- Tín dụng nghiên cứu: được báo cáo bởi một nhà nghiên cứu bảo mật
Tóm tắt kỹ thuật (không khai thác):
- Lỗ hổng liên quan đến việc xử lý cookie và logic xác thực phiên của plugin. Do việc xác thực không đủ của một cookie hoặc cách trạng thái phiên được suy ra từ giá trị cookie, một kẻ tấn công có thể tạo hoặc sửa đổi một cookie để làm cho ứng dụng tin rằng người thực hiện là một người dùng đã được xác thực.
- Bởi vì việc bỏ qua này ảnh hưởng đến xác thực, nó có thể được sử dụng để tương tác với các điểm cuối được bảo vệ bởi quản trị viên hoặc các chức năng đặc quyền khác nếu logic ứng dụng web chỉ dựa vào cookie xác thực của plugin.
Chúng tôi sẽ không công bố một khai thác hoặc PoC ở đây. Cách tiếp cận có trách nhiệm cho các chủ sở hữu trang và người bảo vệ là tập trung vào phát hiện, kiểm soát và khắc phục.
Các hành động ngay lập tức cho chủ sở hữu trang web (theo thứ tự ưu tiên)
- Kiểm kê và xác định các trang bị ảnh hưởng
- Đăng nhập vào mạng WordPress của bạn hoặc từng trang và kiểm tra xem Đăng Nhập & Đăng Ký JAY có được cài đặt không.
- Xác nhận phiên bản plugin. Nếu nó là <= 2.4.01, hãy coi trang là dễ bị tổn thương.
- Ngừng hoạt động plugin (nếu bạn có thể)
- Nếu có thể và nếu việc đưa trang web vào chế độ bảo trì là chấp nhận được, hãy vô hiệu hóa plugin ngay lập tức.
- Nếu trang web phụ thuộc vào plugin cho xác thực sản xuất hiện tại và không thể đưa ngoại tuyến, hãy tiến hành các biện pháp giảm thiểu bên dưới.
- Thu hồi phiên và xoay vòng bí mật
- Xoay vòng muối và khóa bảo mật WordPress (trong wp-config.php). Điều này làm vô hiệu hóa các cookie xác thực và phiên hiện có.
- Buộc đăng xuất cho tất cả người dùng: trong quản trị WordPress > Người dùng, chỉnh sửa từng tài khoản và sử dụng Thu hồi Phiên (hoặc thay đổi mật khẩu) để buộc đăng xuất.
- Nếu bạn có bộ nhớ cache phiên phía máy chủ cho plugin, hãy xóa nó.
- Thay đổi mật khẩu quản trị viên và xem xét các tài khoản quản trị
- Đặt lại mật khẩu cho tất cả người dùng cấp quản trị. Thực thi mật khẩu mạnh, ngẫu nhiên.
- Kiểm tra danh sách người dùng để tìm các tài khoản quản trị không xác định hoặc đáng ngờ và xóa hoặc vô hiệu hóa chúng.
- Triển khai bảo vệ Tường lửa Ứng dụng Web (WAF) / vá ảo
- Nếu bạn chạy WP-Firewall, hãy kích hoạt quy tắc vá ảo khẩn cấp mà chúng tôi đã công bố (xem phần Giảm thiểu WP-Firewall bên dưới).
- Đối với các nhà cung cấp và chủ sở hữu trang web trên các WAF khác, hãy triển khai các quy tắc để chặn các yêu cầu đáng ngờ nhắm vào các điểm cuối xác thực, trang quản trị hoặc các yêu cầu mang giá trị cookie đáng ngờ.
- Từ chối các yêu cầu không xác thực cố gắng hành động như người dùng đã xác thực (xem Hướng dẫn Phát hiện & WAF bên dưới).
- Quét tìm cửa hậu và các chỉ số của sự xâm phạm (IoCs)
- Chạy quét phần mềm độc hại toàn diện với một trình quét uy tín và kiểm tra tính toàn vẹn của tệp.
- Tìm kiếm các tệp đáng ngờ, tệp lõi đã chỉnh sửa, tệp PHP không mong đợi trong các tệp tải lên, người dùng quản trị mới, các tác vụ theo lịch không bình thường (cron), hoặc các kết nối ra ngoài mà trước đây không có.
- Nếu bạn tìm thấy bằng chứng về sự xâm phạm, hãy giả định rằng kẻ tấn công đã có quyền truy cập cấp quản trị và thực hiện các bước phản ứng sự cố (cách ly, sao lưu, dọn dẹp, khôi phục từ sao lưu đã biết tốt, xoay vòng thông tin xác thực).
- Vá khi có sẵn — hoặc gỡ bỏ plugin
- Nếu tác giả plugin công bố một phiên bản đã sửa, hãy áp dụng ngay lập tức và xác minh trang web của bạn.
- Nếu bạn không thể vá nhanh chóng hoặc tin tưởng rằng plugin sẽ được sửa sớm, hãy gỡ bỏ hoặc thay thế plugin bằng một lựa chọn được duy trì. Đảm bảo bạn có một bản xuất/sao lưu của bất kỳ dữ liệu quan trọng nào được sử dụng bởi plugin.
- Giám sát nhật ký và hoạt động mạng
- Kiểm tra nhật ký máy chủ web (nhật ký truy cập và nhật ký lỗi) cho các yêu cầu đến các điểm cuối quản trị, admin-ajax.php, wp-login.php, các điểm cuối AJAX và các trang mà plugin cung cấp.
- Tìm kiếm các yêu cầu HTTP bất thường từ các IP đơn lẻ hoặc một tập hợp các IP tập trung, đặc biệt là những yêu cầu bao gồm thay đổi cookie hoặc cookie được phát lại.
Các mẫu phát hiện cụ thể và những gì cần theo dõi
Dưới đây là những điều thực tiễn cần tìm trong nhật ký và telemetry của bạn. Chúng chỉ là hướng dẫn và cố ý tránh công bố nội dung khai thác.
- Giá trị cookie bất ngờ trong các yêu cầu đến wp-admin, wp-login hoặc các điểm cuối AJAX.
- Các yêu cầu thiết lập hoặc sửa đổi cookie ngay trước khi truy cập các trang quản trị.
- Các yêu cầu lặp lại mô phỏng hành vi đã xác thực từ cùng một địa chỉ IP nhưng không có phiên hợp lệ đã biết (ví dụ, giá trị cookie giống nhau trên nhiều IP hoặc user-agent khác nhau).
- Các tài khoản quản trị mới được tạo từ các địa chỉ IP hoặc user-agent đáng ngờ.
- Khối lượng lớn các yêu cầu chứa tiêu đề cookie nhưng dẫn đến phản hồi 200 cho các tài nguyên được bảo vệ bởi quản trị.
- Các yêu cầu POST bất thường đến các điểm cuối được xử lý bởi plugin (đăng ký, đăng nhập, hành động AJAX tùy chỉnh) kèm theo các thay đổi cookie.
Khi bạn thấy các mẫu đáng ngờ:
- Chụp nhanh và bảo tồn nhật ký và dấu thời gian.
- Nếu bạn có một môi trường pháp y, sao chép nhật ký để phân tích sâu hơn.
- Tạm thời chặn các IP vi phạm hoặc giới hạn tỷ lệ của chúng trong khi điều tra.
Giảm thiểu WP-Firewall và vá ảo (cách chúng tôi bảo vệ bạn)
Là đội ngũ bảo mật WP-Firewall, chúng tôi coi những vấn đề vượt qua xác thực này là khẩn cấp. Chúng tôi đã chuẩn bị và triển khai một bản vá ảo tự động (quy tắc WAF) chặn các mẫu khai thác đã biết cho lỗ hổng này mà không cần chờ đợi bản cập nhật chính thức của plugin.
Những gì WP-Firewall làm:
- Chặn các yêu cầu phù hợp với các mẫu chữ ký mà chúng tôi phát triển phối hợp với báo cáo lỗ hổng.
- Ngăn chặn các yêu cầu cố gắng nâng cao chức năng quản trị bằng cách lạm dụng các luồng xác thực dựa trên cookie.
- Cung cấp cảnh báo và báo cáo theo thời gian thực để chủ sở hữu trang web thấy được các nỗ lực và có thể phản ứng.
- Cho phép các biện pháp tăng cường tạm thời (cấm các điểm cuối cụ thể, thực thi tiêu đề bảo mật cookie và chặn các thao tác cookie không mong muốn).
Nếu bạn sử dụng WP-Firewall:
- Đảm bảo rằng trang web của bạn đã được kết nối và rằng cập nhật tự động cho các quy tắc đe dọa đã được bật.
- Xác nhận rằng quy tắc khẩn cấp cho việc bỏ qua xác thực JAY Login & Register đang hoạt động trong bảng điều khiển của bạn.
- Đối với các khách hàng được quản lý, đội ngũ của chúng tôi sẽ tự động áp dụng biện pháp giảm thiểu và thông báo cho bạn về các hành động đã thực hiện.
Quan trọng: Các quy tắc WAF là một biện pháp giảm thiểu, không phải là một giải pháp vĩnh viễn. Bạn vẫn phải vá lỗi plugin hoặc gỡ bỏ nó khi có một bản sửa lỗi chính thức.
Hướng dẫn quy tắc WAF thực tiễn (chung và an toàn — ví dụ cho những người bảo vệ)
Nếu bạn quản lý WAF của riêng mình hoặc sử dụng nhà cung cấp khác, hãy xem xét việc triển khai các biện pháp bảo vệ chung sau đây trong khi tránh các cảnh báo sai. Đây là các loại quy tắc khái niệm — điều chỉnh theo môi trường và thử nghiệm của bạn.
- Chặn các yêu cầu POST không xác thực đến các điểm cuối quản trị hoặc plugin cụ thể khi đi kèm với cookie xác thực mới được thiết lập/chỉnh sửa.
- Chặn các yêu cầu cố gắng truy cập trực tiếp vào chức năng quản trị khi yêu cầu thiếu cookie phiên đăng nhập WordPress hợp lệ (hoặc khi một cookie không ánh xạ đến một phiên trong bộ nhớ lưu trữ phía máy chủ).
- Giới hạn tần suất hoặc tạm thời từ chối các yêu cầu lặp lại từ một IP duy nhất đã thiết lập cookie và sau đó truy cập các điểm cuối quản trị.
- Từ chối các yêu cầu chứa hành vi thiết lập cookie kết hợp với truy cập vào /wp-admin/ hoặc các điểm cuối AJAX quản trị.
- Thực thi các thuộc tính cookie an toàn (HttpOnly, Secure, SameSite) cho các cookie được tạo bởi plugin (nếu có thể).
Ghi chú: Không áp dụng các quy tắc quá rộng mà chặn người dùng hợp pháp. Luôn thử nghiệm ở chế độ giám sát trước và điều chỉnh các quy tắc để tránh khóa quyền truy cập của quản trị viên.
Cách kiểm tra xem trang web của bạn đã đã bị khai thác
Nếu bạn nghi ngờ bị xâm phạm, hãy thực hiện ngay các kiểm tra sau:
- Tài khoản người dùng
- Kiểm tra tất cả các tài khoản người dùng. Tìm kiếm các tài khoản có vai trò quản trị viên mà bạn không tạo ra.
- Kiểm tra thời gian tạo và địa chỉ IP cho các tài khoản quản trị.
- Tệp và mã
- So sánh các tệp hiện tại với một bản sao lưu đã biết là tốt hoặc các tệp WordPress core/theme/plugin sạch.
- Tìm kiếm các tệp PHP không mong đợi trong wp-content/uploads hoặc wp-includes.
- Kiểm tra các thời gian sửa đổi không phù hợp với các bản cập nhật bình thường.
- Nhiệm vụ đã lên lịch
- Liệt kê các tác vụ cron (các mục wp-cron). Tìm kiếm các nhiệm vụ đã lên lịch được tạo bởi các plugin hoặc người dùng không xác định.
- Kết nối ra ngoài
- Kiểm tra các kết nối HTTP ra ngoài không mong đợi hoặc các truy vấn DNS từ máy chủ có thể chỉ ra việc rò rỉ dữ liệu.
- Thay đổi cơ sở dữ liệu
- Xem xét wp_options, wp_users và bảng plugin để tìm các mục không mong đợi. Tìm kiếm các sửa đổi dữ liệu đã tuần tự cho phép cửa hậu.
- Chỉ báo cửa hậu
- Tìm kiếm các mẫu mã bị che giấu, eval(), base64_decode(), hoặc các cuộc gọi đến các chức năng system/exec trong các tệp plugin/theme.
Nếu bạn tìm thấy bằng chứng về sự xâm phạm:
- Tách biệt trang web (đưa vào chế độ bảo trì, giới hạn quyền truy cập).
- Lấy một bản sao lưu đầy đủ của trang web hiện tại cho điều tra.
- Xóa trang web và khôi phục từ một bản sao lưu đã biết là sạch nếu có thể.
- Sau khi khôi phục, thay đổi tất cả các thông tin xác thực (bảng điều khiển lưu trữ, cơ sở dữ liệu, FTP/SFTP, SSH, người dùng WP).
- Cân nhắc việc liên hệ với một chuyên gia phản ứng sự cố nếu bạn thiếu nguồn lực để làm sạch kỹ lưỡng.
Khuyến nghị tăng cường để giảm rủi ro từ các vấn đề liên quan đến cookie
Ngay cả sau khi giảm thiểu ngay lập tức, việc tăng cường môi trường WordPress của bạn giảm thiểu rủi ro của các vấn đề tương tự:
- Thực thi MFA cho tất cả các tài khoản quản trị viên (sử dụng ứng dụng xác thực hoặc mã phần cứng).
- Giới hạn quyền truy cập quản trị viên theo IP khi có thể (ví dụ, hạn chế tường lửa hoặc dựa trên máy chủ).
- Sử dụng kiểm soát truy cập dựa trên vai trò và quyền tối thiểu — tránh cấp quyền quản trị cho nhiều người một cách không cần thiết.
- Giữ cho WordPress core, các chủ đề và plugin được cập nhật và đăng ký dịch vụ thông báo về lỗ hổng/bản vá.
- Bật cờ cookie bảo mật (HttpOnly, Secure, SameSite) cho cookie phiên và xác thực nơi mà ngăn xếp của bạn hỗ trợ.
- Triển khai ghi chép và giám sát mạnh mẽ (nhật ký kiểm toán, phát hiện thay đổi tệp, cảnh báo đăng nhập thất bại).
- Sử dụng WAF được quản lý với khả năng vá ảo để bạn có thể chặn nhanh các mẫu khai thác đã biết.
- Sao lưu trang web của bạn thường xuyên và xác minh rằng các bản sao lưu có thể phục hồi.
Hướng dẫn giao tiếp cho các cơ quan và nhà cung cấp lưu trữ quản lý trang web của khách hàng
Nếu bạn quản lý nhiều trang web của khách hàng hoặc lưu trữ các cài đặt WordPress của khách hàng:
- Quét hàng loạt cho plugin trên toàn bộ hệ thống của bạn và tạo danh sách ưu tiên các trang bị ảnh hưởng.
- Áp dụng các biện pháp giảm thiểu tự động trên tất cả các máy chủ (quy tắc WAF hoặc quy tắc tường lửa dựa trên máy chủ) ngay lập tức.
- Thông báo cho khách hàng một cách rõ ràng và kịp thời: giải thích rủi ro, những gì bạn đã làm để giảm thiểu nó, và những gì khách hàng phải làm (đặt lại mật khẩu, bật MFA).
- Cung cấp hỗ trợ có mục tiêu (gỡ bỏ plugin, di chuyển đến giải pháp xác thực thay thế, hoặc tăng cường tạm thời).
- Nếu một trang web của khách hàng được xác nhận đã bị xâm phạm, tài liệu sự cố và các hành động đã thực hiện để tuân thủ và minh bạch.
Đối với các nhà phát triển plugin: bài học rút ra và mẹo lập trình an toàn
Lỗ hổng này nhấn mạnh những cạm bẫy phổ biến khi triển khai xác thực với cookie tùy chỉnh.
- Xác thực trạng thái phiên ở phía máy chủ — không tin tưởng vào giá trị cookie ở phía khách hàng mà không có ánh xạ và xác minh ở phía máy chủ.
- Ký và/hoặc mã hóa payload cookie bằng cách sử dụng bí mật ở phía máy chủ và xác minh chữ ký trên mỗi yêu cầu.
- Sử dụng token ngắn hạn và xoay vòng khóa khi có thể.
- Tránh dựa vào sự hiện diện của một cookie như là chỉ báo duy nhất của xác thực.
- Sử dụng thư viện tiêu chuẩn, đã được kiểm chứng cho xác thực và quản lý phiên thay vì các triển khai tùy chỉnh.
- Đặt thuộc tính cookie bảo mật (HttpOnly, Secure, SameSite) để giảm thiểu rủi ro bị đánh cắp hoặc tấn công giữa các trang.
- Thực hiện mô hình hóa mối đe dọa cho các luồng xác thực và bao gồm kiểm tra tiêu cực (điều gì xảy ra nếu cookie bị thao túng).
- Công bố thông tin liên hệ bảo mật và quy trình tiết lộ có trách nhiệm để các vấn đề được báo cáo một cách riêng tư và có trách nhiệm.
Cách khách hàng WP-Firewall được bảo vệ (những gì chúng tôi đã làm)
- Chúng tôi đã phát triển và phân phối các quy tắc vá lỗi ảo khẩn cấp cho các mẫu chữ ký lỗ hổng.
- Chúng tôi đã triển khai các thiết bị giám sát phát hiện tự động để cảnh báo khách hàng khi phát hiện nỗ lực khai thác.
- Chúng tôi đã khuyến nghị một danh sách kiểm tra phản ứng sự cố tiêu chuẩn cho khách hàng: xoay muối, đặt lại mật khẩu quản trị, quét tìm cửa hậu và (nếu cần) đưa plugin ngoại tuyến.
- Đối với khách hàng được quản lý, đội ngũ sự cố của chúng tôi đã chủ động triển khai các biện pháp giảm thiểu và thông báo cho chủ sở hữu trang web với các bước khắc phục cụ thể.
Nếu bạn là khách hàng của WP-Firewall và có câu hỏi về một cảnh báo hoặc cần giúp đỡ thực hiện các bước khắc phục, hãy liên hệ với đội ngũ hỗ trợ của chúng tôi qua bảng điều khiển của bạn.
Danh sách kiểm tra phục hồi và khắc phục lâu dài
Khi biện pháp giảm thiểu ngay lập tức hoàn tất, hãy làm theo danh sách kiểm tra này để khôi phục và củng cố trang web của bạn:
- Xác nhận plugin đã được vá hoặc thay thế
- Nếu có bản sửa lỗi từ nhà cung cấp, hãy áp dụng và xác minh chức năng.
- Nếu không có bản sửa lỗi, hãy gỡ bỏ plugin và di chuyển các tính năng sang một lựa chọn an toàn.
- Xác thực tính toàn vẹn của trang web
- Chạy kiểm tra tính toàn vẹn tệp so với các bản sao sạch của WordPress và các chủ đề.
- Quét lại để tìm phần mềm độc hại và các chỉ số bị xâm phạm.
- Vệ sinh thông tin xác thực
- Xoay tất cả các thông tin xác thực: cơ sở dữ liệu, lưu trữ, FTP/SFTP, bảng điều khiển, khóa API và thông tin xác thực SMTP.
- Yêu cầu MFA cho các tài khoản có quyền.
- Giám sát & cảnh báo
- Bật giám sát trang web và thông báo đăng nhập.
- Triển khai cảnh báo cho các thay đổi quản trị và sửa đổi tệp.
- Tài liệu và báo cáo.
- Ghi lại thời gian sự cố, những gì bị ảnh hưởng, các bước khắc phục đã thực hiện và các bước xác minh.
- Nếu tổ chức của bạn yêu cầu báo cáo quy định hoặc thông báo cho khách hàng, hãy tuân theo hướng dẫn pháp lý và tuân thủ.
- Phân tích hậu sự và phòng ngừa
- Tiến hành một cuộc điều tra sau sự cố để xác định nguyên nhân gốc rễ và cải thiện các biện pháp kiểm soát.
- Cập nhật chính sách quản lý thay đổi và mua sắm nhà cung cấp/plugin để bao gồm các đánh giá bảo mật.
Câu hỏi thường gặp (FAQ)
H: Liệu trang web của tôi có chắc chắn bị xâm phạm nếu nó sử dụng plugin dễ bị tổn thương không?
Đ: Không nhất thiết. Lỗ hổng cho phép khai thác, nhưng nó yêu cầu một kẻ tấn công hành động. Các trang web có nguy cơ và phải được coi là có thể bị xâm phạm cho đến khi bạn xác minh bằng cách quét, kiểm toán và xem xét nhật ký.
H: Việc vô hiệu hóa plugin có khắc phục được không?
Đ: Việc vô hiệu hóa plugin giảm bề mặt tấn công ngay lập tức. Nó cũng ngăn chặn logic của plugin được sử dụng cho xác thực. Nhưng nếu trang web đã bị khai thác, chỉ việc vô hiệu hóa không làm sạch các lối vào ẩn. Bạn phải quét và điều tra.
H: Tôi có thể chỉ dựa vào WAF không?
Đ: WAF là một biện pháp giảm thiểu cần thiết và có thể chặn khai thác đang diễn ra, nhưng nó nên là một phần của cách tiếp cận nhiều lớp: vá lỗi, tăng cường, xoay vòng thông tin xác thực và kiểm tra pháp y.
H: Tôi nên hành động sớm như thế nào?
Đ: Ngay lập tức. Bởi vì lỗ hổng có thể bị khai thác mà không cần xác thực và có mức độ nghiêm trọng cao, hãy áp dụng các biện pháp giảm thiểu ngay bây giờ.
Bảo vệ trang web của bạn hôm nay — Bắt đầu với gói miễn phí WP‑Firewall
Nếu bạn chưa có các biện pháp bảo vệ biên giới mạnh mẽ, hãy bắt đầu với gói Cơ bản (Miễn phí) của chúng tôi để mua thời gian cho bạn và ngăn chặn các nỗ lực khai thác đang diễn ra trong khi bạn khắc phục:
- Bảo vệ thiết yếu: tường lửa được quản lý, băng thông không giới hạn, WAF, trình quét phần mềm độc hại và giảm thiểu 10 rủi ro hàng đầu của OWASP.
- Không cần thẻ tín dụng — đăng ký và kích hoạt bảo vệ trong vài phút.
- Địa chỉ URL: https://my.wp-firewall.com/buy/wp-firewall-free-plan/
Gói miễn phí của chúng tôi được thiết kế để cung cấp cho các trang web nhỏ và môi trường thử nghiệm một mạng lưới an toàn ngay lập tức. Nó bao gồm WAF được quản lý và quét phần mềm độc hại giúp phát hiện các nỗ lực thao tác cookie đáng ngờ và chặn các mẫu khai thác đã biết — chính xác là loại bảo vệ giúp trong các sự cố như thế này.
Lời cuối từ Nhóm Bảo mật WP‑Firewall
Lỗ hổng này là một lời nhắc nhở rõ ràng: xác thực là một ranh giới quan trọng, và bất kỳ điểm yếu nào ở đó đều có thể gây thảm họa. Đối xử với mã xác thực plugin với sự nghiêm ngặt giống như bạn đối xử với lõi WordPress. Nếu bạn chạy plugin bị ảnh hưởng (JAY Login & Register <= 2.4.01), hãy hành động ngay — hoặc vô hiệu hóa plugin, áp dụng các biện pháp giảm thiểu, hoặc gỡ bỏ nó cho đến khi có một phiên bản đã được vá và xác thực.
Nếu bạn sử dụng WP‑Firewall, hãy đảm bảo trang web của bạn được kết nối và các quy tắc đe dọa được cập nhật. Đối với các cơ quan và nhà cung cấp, hãy ưu tiên việc vá lỗi và giao tiếp của bạn: khách hàng của bạn phụ thuộc vào bạn.
Nếu bạn cần sự trợ giúp trực tiếp, các đội phản ứng sự cố và bảo mật được quản lý của chúng tôi có thể hỗ trợ với việc phân loại, giảm thiểu và phục hồi. Bảo vệ các trang web là những gì chúng tôi làm — hãy bắt đầu bằng cách kích hoạt bảo vệ mà bạn kiểm soát ngay hôm nay.
— Nhóm bảo mật WP‑Firewall
