Tên plugin	Trình xây dựng ứng dụng
Loại lỗ hổng	Tăng quyền
Số CVE	CVE-2026-2375
Tính cấp bách	Cao
Ngày xuất bản CVE	2026-03-23
URL nguồn	CVE-2026-2375

Khẩn cấp: Tăng cường Quyền hạn trong Plugin WordPress “App Builder” (<= 5.5.10) — Những gì Chủ sở hữu trang web, Nhà phát triển và Nhà cung cấp dịch vụ cần làm ngay bây giờ

Ngày: 23 tháng 3, 2026
Tác giả: Nhóm bảo mật WP-Firewall

Thông báo này đề cập đến một lỗ hổng ưu tiên cao mới được công bố trong plugin WordPress “App Builder — Tạo ứng dụng Android & iOS gốc trên chuyến bay” (các phiên bản <= 5.5.10). Lỗ hổng cho phép người dùng không xác thực tăng cường quyền hạn bằng cách lạm dụng một vai trò tham số trong một điểm cuối của plugin (được theo dõi là CVE-2026-2375). Vấn đề này có thể bị lợi dụng quy mô lớn và gây ra rủi ro nghiêm trọng cho bất kỳ trang web nào sử dụng phiên bản bị ảnh hưởng.

Bài viết này được viết từ góc độ của WP-Firewall, một Tường lửa Ứng dụng Web tập trung vào WordPress và nhà cung cấp dịch vụ bảo mật. Chúng tôi sẽ hướng dẫn bạn: những gì đã xảy ra, mức độ nguy hiểm, cách phát hiện khai thác, các biện pháp giảm thiểu ngay lập tức bạn có thể áp dụng (bao gồm cả vá ảo thông qua quy tắc WAF), các sửa chữa được khuyến nghị cho nhà phát triển, và các bước phục hồi và tăng cường kỹ lưỡng nếu trang web của bạn bị ảnh hưởng.

Nếu bạn quản lý các trang WordPress — hãy đọc điều này ngay và hành động tương ứng.

TL;DR (cần làm gì trước)

Xem lỗ hổng này là ưu tiên cao. Điểm số giống như CVSS cho thấy rủi ro nghiêm trọng (6.5 trong các báo cáo công khai), nhưng tác động thực tế thường cao hơn vì việc tăng cường quyền hạn dẫn đến việc chiếm đoạt toàn bộ trang web.
Nếu trang web của bạn sử dụng plugin App Builder và phiên bản là 5.5.10 hoặc thấp hơn, ngay lập tức:
- Nếu có thể, cập nhật plugin lên phiên bản đã được vá khi có sẵn.
- Nếu chưa có bản vá, tạm thời vô hiệu hóa hoặc gỡ bỏ plugin.
- Áp dụng các quy tắc vá ảo/WAF để chặn các yêu cầu chứa các vai trò tham số đáng ngờ đối với các điểm cuối của plugin.
- Kiểm tra các tài khoản có quyền cao mới được tạo/sửa đổi và các thay đổi không được phép.
- Theo dõi danh sách kiểm tra phục hồi bên dưới nếu bạn tìm thấy dấu hiệu bị xâm phạm.
Các nhà phát triển: thêm kiểm tra khả năng nghiêm ngặt, xác minh nonce và xác thực/làm sạch bất kỳ vai trò đầu vào nào theo danh sách trắng các vai trò được phép.

Tóm tắt lỗ hổng nhanh

Phần mềm bị ảnh hưởng: Plugin WordPress App Builder — các phiên bản <= 5.5.10
Loại lỗ hổng: Tăng quyền thông qua việc xử lý không đúng một vai trò tham số (bỏ qua xác thực & kiểm tra khả năng)
Quyền yêu cầu: Không xác thực (từ xa)
CVE: CVE-2026-2375
Mức độ nghiêm trọng: Cao (tác động thực tế thường nghiêm trọng vì quyền hạn tăng lên có thể dẫn đến việc xâm phạm toàn bộ trang web)
Vector khai thác đã biết: Các yêu cầu HTTP đến các điểm cuối plugin chấp nhận một vai trò tham số và gán khả năng/ vai trò mà không có kiểm tra xác thực hoặc xác minh hợp lệ thích hợp

Tại sao điều này lại nguy hiểm: chuỗi tấn công

Các lỗ hổng tăng quyền là một trong những loại lỗi nghiêm trọng nhất trong các plugin CMS vì chúng cho phép kẻ tấn công nhảy từ vị trí quyền hạn thấp (hoặc không có xác thực) lên quyền hạn cao hơn. Kẻ tấn công thường kết hợp tăng quyền với các bước sau:

Kẻ tấn công không xác thực gọi một điểm cuối plugin, cung cấp một vai trò tham số được chế tạo đặc biệt (hoặc tương tự). Điểm cuối dễ bị tổn thương chấp nhận tham số và thực hiện việc gán vai trò hoặc thăng chức người dùng mà không xác minh quyền hạn của người gọi.
Kẻ tấn công hoặc:
- Tạo một người dùng quản trị mới, hoặc
- Thăng chức một người dùng có quyền hạn thấp hiện có (người đăng ký/người đóng góp) lên vai trò quản trị viên/biên tập viên.
Với quyền quản trị viên, kẻ tấn công:
- Cài đặt backdoor, web shell hoặc cơ chế duy trì.
- Cài đặt các plugin/giao diện độc hại bổ sung hoặc sửa đổi các tệp.
- Đánh cắp dữ liệu, tiêm các trang spam/phishing, hoặc sử dụng trang web để chuyển tiếp đến các mạng khác.
Nếu không được chú ý, kẻ tấn công có thể duy trì quyền truy cập liên tục và kiếm tiền từ nó (ví dụ: spam SEO, phân phối phần mềm độc hại).

Bởi vì khai thác không yêu cầu xác thực, các chiến dịch quét và khai thác tự động có thể nhắm mục tiêu các trang web dễ bị tổn thương trong vòng vài phút đến vài giờ sau khi công bố.

Cách phát hiện trang web của bạn có bị nhắm mục tiêu hoặc xâm phạm không

Kiểm tra những chỉ số này (ưu tiên điều tra nếu bạn tìm thấy bất kỳ điều nào):

Người dùng mới với vai trò nâng cao (Quản trị viên, Biên tập viên) được tạo ra sau ngày công bố lỗ hổng.
Người dùng hiện có với các thay đổi vai trò mà bạn không thực hiện. Chú ý đặc biệt đến bất kỳ người đăng ký/đóng góp nào đột nhiên được thăng chức lên quản trị viên.
Các tác vụ đã lên lịch không nhận diện được (cron jobs) hoặc các tệp plugin/theme mới được thêm vào.
Các tệp PHP nghi ngờ trong thư mục uploads hoặc wp-content, đặc biệt là các tệp có tên lạ hoặc dấu thời gian khớp với khoảng thời gian khai thác.
Các bất thường trong hoạt động đăng nhập: địa chỉ IP mới đăng nhập vào tài khoản quản trị, hoặc đăng nhập quản trị từ các quốc gia không mong đợi.
Nhật ký máy chủ web hiển thị các yêu cầu HTTP với vai trò= trong chuỗi truy vấn hoặc thân POST đến các điểm cuối plugin, đặc biệt từ các IP không xác định và các tác nhân người dùng nghi ngờ.
Cảnh báo từ các kiểm tra tính toàn vẹn tệp, quét phần mềm độc hại hoặc phát hiện xâm nhập cho thấy có sự thay đổi đối với các tệp core/plugin/theme.
Kết nối mạng ra ngoài từ máy chủ của bạn đến các máy chủ không xác định (có thể cho thấy việc rò rỉ dữ liệu hoặc các kênh chỉ huy và kiểm soát).

Sử dụng nhật ký của bạn (nhật ký truy cập, nhật ký lỗi), các plugin hoạt động người dùng WordPress (nhật ký kiểm toán), và các công cụ quét phần mềm độc hại để liên kết các sự kiện và dấu thời gian nghi ngờ.

Các biện pháp giảm thiểu ngay lập tức (dành cho chủ sở hữu và nhà cung cấp dịch vụ)

Cập nhật plugin (nếu có bản vá chính thức được phát hành)
- Luôn kiểm tra kho lưu trữ plugin chính thức hoặc thông báo cập nhật của nhà phát triển và áp dụng các bản cập nhật bảo mật ngay khi chúng được phát hành.
- Nếu bạn có thể cập nhật an toàn lên phiên bản đã được vá, hãy làm như vậy sau khi tạo một bản sao lưu.
Nếu chưa có bản vá: vô hiệu hóa hoặc gỡ bỏ plugin
- Vô hiệu hóa plugin từ wp-admin hoặc gỡ bỏ nó khỏi hệ thống tệp. Đây là bước an toàn nhất ngay lập tức nếu bạn không thể áp dụng bản vá chính thức.
Vá ảo (WAF)
- Nếu bạn chạy một tường lửa ứng dụng web (quản lý hoặc tự quản lý), hãy triển khai các quy tắc để chặn các mẫu khai thác:
  - Chặn các yêu cầu bao gồm một vai trò tham số nhắm vào các điểm cuối plugin, khi người yêu cầu không được xác thực.
  - Chặn các yêu cầu đến các điểm cuối quản trị hoặc API cụ thể của plugin từ các IP công khai/ẩn danh.
  - Giới hạn tỷ lệ các nguồn nghi ngờ và các yêu cầu chứa thay đổi vai trò.
- Bản vá ảo ngăn chặn việc khai thác trong khi bạn chờ đợi một bản cập nhật chính thức của plugin và cho bạn thời gian để thực hiện một biện pháp khắc phục có kiểm soát.
Hạn chế truy cập vào các điểm cuối của plugin thông qua máy chủ web.
- Sử dụng quy tắc .htaccess/Nginx hoặc hạn chế IP để giới hạn truy cập vào các điểm cuối quản trị của plugin chỉ cho các IP đáng tin cậy.
- Ví dụ (Apache .htaccess) để từ chối truy cập vào một đường dẫn plugin ngoại trừ từ các IP quản trị:
```
<Directory "/path/to/wordpress/wp-content/plugins/app-builder">
  Order deny,allow
  Deny from all
  Allow from 203.0.113.123
</Directory>
```
- Sử dụng điều này như một biện pháp tạm thời khi có thể. Hãy cẩn thận với việc khóa lưu lượng hợp pháp.
Tăng cường quy trình tạo người dùng và thay đổi vai trò.
- Vô hiệu hóa đăng ký người dùng công khai nếu không cần thiết.
- Thực thi việc xem xét thủ công các người dùng mới.
- Tạm thời hạn chế thay đổi vai trò bằng cách giới hạn việc phân bổ khả năng cho các quản trị viên đáng tin cậy.
Kiểm tra và xoay vòng thông tin xác thực
- Buộc đặt lại mật khẩu cho người dùng có quyền và xem xét nhật ký xác thực.
- Thay đổi bí mật và cập nhật muối WordPress (trong wp-config.php) nếu nghi ngờ bị xâm phạm.

Mẫu quy tắc WAF bản vá ảo (khái niệm - điều chỉnh cho môi trường của bạn).

Dưới đây là các ví dụ về chữ ký/quy tắc chung mà bạn có thể sử dụng để chặn các nỗ lực khai thác rõ ràng. Không dán mã khai thác thô; thay vào đó, hãy thực hiện các kiểm tra chung trong bảng điều khiển WAF của bạn.

Chặn các yêu cầu không xác thực bao gồm vai trò= nhắm mục tiêu vào các điểm cuối cụ thể của plugin:
- Điều kiện: URI yêu cầu chứa /wp-admin/admin-ajax.php HOẶC /wp-json/app-builder HOẶC đường dẫn điểm cuối của plugin.
- VÀ phương thức yêu cầu là POST hoặc GET
- VÀ nội dung yêu cầu hoặc chuỗi truy vấn chứa vai trò=
- VÀ phiên/cookie cho thấy chưa đăng nhập (không có cookie đăng nhập WordPress)
- Hành động: Chặn hoặc thách thức (CAPTCHA)
Chặn các yêu cầu tạo người dùng hoặc sửa đổi vai trò mà không có cookie hợp lệ:
- Điều kiện: Yêu cầu với hành động=, tạo_người_dùng, cập nhật_vai_trò_người_dùng, hoặc vai trò= trỏ đến các điểm cuối plugin thiếu wordpress_logged_in cookie
- Hành động: Chặn
Giới hạn tốc độ hoặc giảm tốc độ bất kỳ IP không xác định nào gửi yêu cầu lặp lại với vai trò tham số.

Ghi chú: Những gợi ý này cố ý chung chung. Thực hiện chúng cẩn thận để tránh các kết quả dương tính giả có thể phá vỡ quy trình làm việc hợp pháp.

Hướng dẫn cho nhà phát triển và danh sách kiểm tra mã an toàn

Nếu bạn là nhà phát triển plugin hoặc chủ đề — đây là nơi bạn phải tập trung. Nguyên nhân gốc rễ của các lỗ hổng leo thang quyền hạn như thế này thường là do thiếu kiểm tra khả năng, xác thực đầu vào yếu và lộ logic phân công vai trò thông qua các điểm cuối có thể được gọi bởi người dùng không xác thực.

Theo dõi danh sách kiểm tra này:

Kiểm tra năng lực
- Luôn thực hiện kiểm tra khả năng bằng cách sử dụng các hàm WordPress như:
  - current_user_can('promote_users') — để cho phép thăng chức người dùng
  - current_user_can('edit_users') — để chỉnh sửa hồ sơ người dùng
- Không bao giờ dựa vào dữ liệu do khách hàng cung cấp cho các hành động quan trọng như thay đổi vai trò.
Xác thực và xác minh nonce
- Đối với các điểm cuối AJAX, sử dụng kiểm tra_ajax_referer() và đảm bảo hành động chỉ có sẵn cho các người gọi đã xác thực khi phù hợp.
- Đối với các điểm cuối REST API, sử dụng các callback quyền hạn thích hợp xác thực khả năng của người yêu cầu.
Danh sách trắng về vai trò và khả năng
- Xác thực bất kỳ vai trò tham số nào với danh sách trắng phía máy chủ của các khóa vai trò được phép (ví dụ: ‘biên tập viên’, ‘người đóng góp’, v.v.) và không bao giờ cho phép các chuỗi vai trò tùy ý.
- Ngăn chặn việc nâng cao khả năng mà người gọi không sở hữu.
Nguyên tắc đặc quyền tối thiểu
- Giới hạn các điểm cuối thay đổi vai trò người dùng chỉ cho quản trị viên và trong các ngữ cảnh an toàn.
- Tránh chức năng cho phép người dùng có quyền hạn thấp tự gán vai trò cho bản thân hoặc người khác.
Ghi nhật ký kiểm toán
- Ghi lại tất cả các sự kiện tạo người dùng và thay đổi vai trò (id người dùng, người khởi xướng, thời gian, IP).
- Cung cấp các hook cho quản trị viên trang web để xem xét các nhật ký này.
Bảo mật cấu hình mặc định
- Đảm bảo bất kỳ điểm cuối tự động nào đều bị vô hiệu hóa theo mặc định trừ khi được bật rõ ràng và chỉ sau khi có xác nhận của quản trị viên.

Ví dụ về callback quyền an toàn cho một tuyến REST:

register_rest_route( 'app-builder/v1', '/modify-role', array(;

Và xác thực phía máy chủ bên trong trình xử lý của bạn:

function ab_modify_role_handler( WP_REST_Request $request ) {

Nếu một điểm cuối phải chấp nhận đầu vào giống như vai trò, không bao giờ truyền trực tiếp nó cho các hàm WordPress như wp_update_user() mà không có xác thực và kiểm tra khả năng.

Ví dụ về bản vá nhanh cho nhà phát triển (biện pháp tạm thời)

Nếu bạn không thể phát hành một bản cập nhật plugin đầy đủ nhanh chóng, hãy thêm một plugin phải sử dụng (mu-) để chặn các cuộc gọi không xác thực đến điểm cuối có vấn đề và từ chối các yêu cầu chứa vai trò trừ khi người gọi đã được xác thực và có khả năng.

Đặt một tệp vào wp-content/mu-plugins/disable-appbuilder-role.php:

<?php;

Ghi chú:

Đây là một biện pháp tạm thời để mua thời gian cho đến khi bạn có thể áp dụng bản cập nhật plugin hoặc quy tắc WAF thích hợp.
Hãy thử nghiệm điều này trong môi trường staging trước — đảm bảo rằng nó không làm hỏng các tính năng hợp pháp phụ thuộc vào đầu vào giống như vai trò cho các quy trình làm việc ở front-end.

Các bước phục hồi và khắc phục nếu bạn phát hiện dấu hiệu bị xâm phạm

Nếu bạn phát hiện rằng trang web của bạn đã bị khai thác, hãy làm theo danh sách kiểm tra phục hồi này theo thứ tự:

Đưa trang web offline hoặc đặt ở chế độ bảo trì (nếu cần) để ngăn chặn thiệt hại thêm.
Ngay lập tức thay đổi tất cả mật khẩu quản trị viên và thực thi mật khẩu mạnh cho tất cả các tài khoản.
Buộc đặt lại mật khẩu cho tất cả người dùng có quyền cao.
Xóa bất kỳ tài khoản quản trị viên/editor không xác định nào. Đừng chỉ hạ cấp chúng — hãy xóa và điều tra các vectơ tạo ra.
Kiểm tra và xóa các plugin, chủ đề hoặc tệp đáng ngờ được giới thiệu trong khoảng thời gian khai thác.
- Chú ý đặc biệt đến các tệp PHP trong uploads hoặc các thư mục không xác định.
Khôi phục từ một bản sao lưu đã biết tốt trước khi bị xâm phạm, sau khi đảm bảo rằng lỗ hổng đã được giảm thiểu (plugin đã bị xóa/cập nhật hoặc bản vá ảo đã được áp dụng).
Cấp lại các khóa API, thay đổi bí mật và thay đổi thông tin xác thực cơ sở dữ liệu nếu có dấu hiệu rò rỉ dữ liệu.
Cập nhật lõi WordPress, các chủ đề và tất cả các plugin lên phiên bản an toàn mới nhất.
Tìm kiếm sự tồn tại — các tác vụ theo lịch (wp-cron), người dùng quản trị không xác định, các hàm theme functions.php đã được sửa đổi và các tệp lõi đã được sửa đổi.
Chạy quét malware toàn diện và xem xét mã. Xóa các backdoor hoặc web-shell đã được chèn vào.
Tăng cường bảo mật cho trang web sau khi dọn dẹp: thực hiện xác thực hai yếu tố (2FA), thực thi quyền tối thiểu, kích hoạt giám sát tính toàn vẹn tệp và giải pháp phát hiện xâm nhập.
Nếu bạn lưu trữ các trang web của khách hàng, hãy thông báo cho các khách hàng bị ảnh hưởng, cung cấp tóm tắt về sự cố và các hành động khắc phục, và khuyến nghị theo dõi thêm.

Nếu bạn không thể tự thực hiện dọn dẹp, hãy thuê một nhà cung cấp phản ứng sự cố WordPress đủ điều kiện hoặc hỗ trợ lưu trữ đáng tin cậy.

Các đề xuất giám sát và tăng cường lâu dài

Kích hoạt giám sát tính toàn vẹn tệp để phát hiện các thay đổi bất ngờ.
Duy trì sao lưu thường xuyên và thực hành quy trình phục hồi.
Thực thi quản lý tài khoản nghiêm ngặt: xóa các tài khoản quản trị không sử dụng và giới hạn quyền truy cập quản trị chỉ cho các tài khoản đã được chỉ định.
Triển khai xác thực đa yếu tố cho tất cả các quản trị viên.
Giữ cho quy trình cập nhật luôn hiện tại: vá tự động có thể giảm thời gian tiếp xúc nhưng cần chú ý đến việc kiểm tra tính tương thích.
Sử dụng bảo vệ điểm cuối và tăng cường cấp máy chủ (ví dụ: vô hiệu hóa thực thi PHP trong tải lên/).
Sử dụng WAF với khả năng vá ảo để bảo vệ chống lại các mối đe dọa đã biết và mới nổi trong khi bạn vá mã nguồn phía trên.

Các chỉ báo nhật ký chi tiết (các ví dụ để tìm kiếm)

Ví dụ về yêu cầu HTTP:
- Yêu cầu đến các điểm cuối plugin với các tham số như vai trò=quản trị viên hoặc role=admin trong thân GET hoặc POST.
- Yêu cầu đến các tuyến REST cụ thể của plugin với vai trò trong tải trọng JSON.
Sự kiện nhật ký kiểm toán:
- người_dùng_đã_đăng_ký hoặc cập nhật_hồ_sơ các sự kiện mà vai trò thay đổi tham số cho thấy các giá trị tăng cao.
- Tạo quản trị viên mới trong khoảng thời gian ngắn từ cùng một IP hoặc chuỗi user-agent.

Thu thập và tập trung nhật ký để tương quan (nhật ký truy cập web, nhật ký kiểm toán WordPress, nhật ký máy chủ). Tương quan các IP và user-agent nghi ngờ qua các sự kiện.

Tại sao vá ảo và bảo vệ WAF lại quan trọng

Một chương trình WAF và vá ảo có trách nhiệm là vô giá khi một lỗ hổng plugin được phát hiện — đặc biệt khi có sự chậm trễ trước khi có bản vá chính thức. Vá ảo cho phép bạn:

Chặn các nỗ lực khai thác trong thời gian thực mà không cần sửa đổi mã plugin.
Cho phép quản trị viên trang web có thời gian để kiểm tra và áp dụng các bản cập nhật chính thức một cách có kiểm soát.
Cung cấp một lớp bảo vệ ngay lập tức ngay cả cho các trang web không thể được cập nhật ngay lập tức.

Tại WP-Firewall, chúng tôi xây dựng, điều chỉnh và triển khai các quy tắc vá lỗi ảo nhắm mục tiêu cụ thể vào các mẫu khai thác cho các vấn đề như thế này, đồng thời giảm thiểu các cảnh báo sai. Nếu bạn điều hành nhiều trang web hoặc lưu trữ các trang web của khách hàng, việc vá lỗi ảo tập trung sẽ giảm thiểu rủi ro tổng thể một cách đáng kể.

Dành cho các nhà cung cấp dịch vụ lưu trữ và các cơ quan

Quét cơ sở khách hàng của bạn để tìm phiên bản plugin dễ bị tổn thương.
Nếu bạn phát hiện các trang web đang chạy các phiên bản bị ảnh hưởng, hãy:
- Áp dụng biện pháp giảm thiểu tự động (vô hiệu hóa plugin, quy tắc WAF) và thông báo cho khách hàng, hoặc
- Thông báo cho khách hàng với hướng dẫn rõ ràng và các hành động được khuyến nghị.
Cân nhắc cung cấp cách ly một cú nhấp chuột (sandboxing) và dịch vụ dọn dẹp được quản lý cho các trang web bị xâm phạm.
Tích hợp cảnh báo thay đổi vai trò và tạo người dùng quản trị vào bảng điều khiển của khách hàng để các thay đổi đáng ngờ được phát hiện nhanh chóng.

Phân tích sau khi phát triển: những gì cần sửa trong plugin (nếu bạn là chủ sở hữu plugin)

Nếu bạn duy trì plugin, hãy công bố một bản vá với các sửa chữa sau:

Đảm bảo tất cả các điểm cuối thay đổi vai trò người dùng hoặc tạo người dùng có kiểm tra quyền nghiêm ngặt (current_user_can hoặc chỉ cho phép các vai trò đã xác thực cụ thể).
Xóa hoặc hạn chế bất kỳ tham số vai trò nào không được xử lý cho các yêu cầu không xác thực.
Thêm danh sách trắng vai trò phía máy chủ.
Thêm xác minh nonce và các callback quyền REST mạnh mẽ cho các điểm cuối REST API.
Thêm việc làm sạch và thoát đầu vào kỹ lưỡng bất cứ khi nào đầu vào bên ngoài được sử dụng.
Thêm ghi lại bất cứ khi nào vai trò được sửa đổi hoặc người dùng được tạo.
Công bố một thông báo bảo mật và các bước khắc phục được khuyến nghị cho người dùng và nhà cung cấp.

Minh bạch với người dùng của bạn về các phiên bản bị ảnh hưởng, bản sửa lỗi và hành động được khuyến nghị. Cung cấp một bản vá có thể dễ dàng áp dụng.

Tiêu đề: Bảo vệ trang web của bạn ngay bây giờ — Bắt đầu với Tường lửa Quản lý Miễn phí của chúng tôi

Nếu bạn đang quản lý các trang WordPress và muốn một bước đơn giản đầu tiên để giảm thiểu sự tiếp xúc với các lỗ hổng như thế này, hãy thử gói Cơ bản (Miễn phí) của WP-Firewall. Nó bao gồm bảo vệ tường lửa quản lý, băng thông không giới hạn, quy tắc WAF, quét phần mềm độc hại và giảm thiểu tự động cho các rủi ro OWASP Top 10 — mọi thứ bạn cần để ngăn chặn các nỗ lực khai thác tự động trong khi bạn cập nhật các plugin.

Đăng ký gói miễn phí tại đây: https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Nâng cấp lên các gói trả phí của chúng tôi mở khóa việc loại bỏ phần mềm độc hại tự động, danh sách cho phép/không cho phép IP, báo cáo bảo mật hàng tháng và vá lỗi ảo nâng cao cho các rủi ro zero-day.

Khuyến nghị cuối cùng — một danh sách kiểm tra để hành động ngay bây giờ

Xác định xem trang web của bạn có chạy App Builder <= 5.5.10 hay không.
Nếu có, ngay lập tức áp dụng một hoặc nhiều biện pháp: cập nhật plugin đã được vá, vô hiệu hóa/gỡ bỏ plugin, hoặc áp dụng quy tắc WAF để chặn mẫu khai thác.
Tìm kiếm trong nhật ký của bạn các yêu cầu với vai trò= và kiểm tra tài khoản người dùng để phát hiện việc tạo quản trị viên trái phép.
Nếu phát hiện dấu hiệu bị xâm phạm, hãy làm theo danh sách kiểm tra phục hồi (khôi phục sao lưu, luân chuyển người dùng, loại bỏ phần mềm độc hại).
Tăng cường bảo mật cho trang web của bạn (2FA, quyền tối thiểu, giám sát tính toàn vẹn tệp).
Nếu bạn quản lý nhiều trang web, hãy triển khai một chính sách vá lỗi ảo tập trung để bảo vệ tất cả chúng ngay lập tức.

Chúng tôi hiểu rằng việc công bố lỗ hổng rất căng thẳng. Nếu bạn cần hỗ trợ trong việc triển khai các bản vá ảo, kiểm tra tài khoản người dùng, hoặc thực hiện phục hồi, đội ngũ Bảo mật WP-Firewall của chúng tôi sẵn sàng giúp đỡ. Bảo vệ các trang WordPress là những gì chúng tôi làm — và hành động nhanh chóng, thực tiễn sẽ giảm thiểu đáng kể sự tiếp xúc của bạn với các chiến dịch khai thác tự động.

Hãy giữ an toàn và hành động ngay bây giờ.

Ngăn chặn Tăng cường Quyền hạn trong App Builder//Xuất bản vào 2026-03-23//CVE-2026-2375

Khẩn cấp: Tăng cường Quyền hạn trong Plugin WordPress “App Builder” (<= 5.5.10) — Những gì Chủ sở hữu trang web, Nhà phát triển và Nhà cung cấp dịch vụ cần làm ngay bây giờ

TL;DR (cần làm gì trước)

Tóm tắt lỗ hổng nhanh

Tại sao điều này lại nguy hiểm: chuỗi tấn công

Cách phát hiện trang web của bạn có bị nhắm mục tiêu hoặc xâm phạm không

Các biện pháp giảm thiểu ngay lập tức (dành cho chủ sở hữu và nhà cung cấp dịch vụ)

Mẫu quy tắc WAF bản vá ảo (khái niệm - điều chỉnh cho môi trường của bạn).

Hướng dẫn cho nhà phát triển và danh sách kiểm tra mã an toàn

Ví dụ về bản vá nhanh cho nhà phát triển (biện pháp tạm thời)

Các bước phục hồi và khắc phục nếu bạn phát hiện dấu hiệu bị xâm phạm

Các đề xuất giám sát và tăng cường lâu dài

Các chỉ báo nhật ký chi tiết (các ví dụ để tìm kiếm)

Tại sao vá ảo và bảo vệ WAF lại quan trọng

Dành cho các nhà cung cấp dịch vụ lưu trữ và các cơ quan

Phân tích sau khi phát triển: những gì cần sửa trong plugin (nếu bạn là chủ sở hữu plugin)

Tiêu đề: Bảo vệ trang web của bạn ngay bây giờ — Bắt đầu với Tường lửa Quản lý Miễn phí của chúng tôi

Khuyến nghị cuối cùng — một danh sách kiểm tra để hành động ngay bây giờ

Nhận WP Security Weekly miễn phí 👋
Đăng ký ngay!!

Liên hệ với chúng tôi để lên lịch tư vấn bảo mật WordPress miễn phí

Ngăn chặn Tăng cường Quyền hạn trong App Builder//Xuất bản vào 2026-03-23//CVE-2026-2375

Khẩn cấp: Tăng cường Quyền hạn trong Plugin WordPress “App Builder” (<= 5.5.10) — Những gì Chủ sở hữu trang web, Nhà phát triển và Nhà cung cấp dịch vụ cần làm ngay bây giờ

TL;DR (cần làm gì trước)

Tóm tắt lỗ hổng nhanh

Tại sao điều này lại nguy hiểm: chuỗi tấn công

Cách phát hiện trang web của bạn có bị nhắm mục tiêu hoặc xâm phạm không

Các biện pháp giảm thiểu ngay lập tức (dành cho chủ sở hữu và nhà cung cấp dịch vụ)

Mẫu quy tắc WAF bản vá ảo (khái niệm - điều chỉnh cho môi trường của bạn).

Hướng dẫn cho nhà phát triển và danh sách kiểm tra mã an toàn

Ví dụ về bản vá nhanh cho nhà phát triển (biện pháp tạm thời)

Các bước phục hồi và khắc phục nếu bạn phát hiện dấu hiệu bị xâm phạm

Các đề xuất giám sát và tăng cường lâu dài

Các chỉ báo nhật ký chi tiết (các ví dụ để tìm kiếm)

Tại sao vá ảo và bảo vệ WAF lại quan trọng

Dành cho các nhà cung cấp dịch vụ lưu trữ và các cơ quan

Phân tích sau khi phát triển: những gì cần sửa trong plugin (nếu bạn là chủ sở hữu plugin)

Tiêu đề: Bảo vệ trang web của bạn ngay bây giờ — Bắt đầu với Tường lửa Quản lý Miễn phí của chúng tôi

Khuyến nghị cuối cùng — một danh sách kiểm tra để hành động ngay bây giờ

Nhận WP Security Weekly miễn phí 👋Đăng ký ngay!!

Liên hệ với chúng tôi để lên lịch tư vấn bảo mật WordPress miễn phí

Nhận WP Security Weekly miễn phí 👋
Đăng ký ngay!!