Tên plugin	Quản lý Phông chữ | Phông chữ Tùy chỉnh
Loại lỗ hổng	Tiêm SQL
Số CVE	CVE-2026-1800
Tính cấp bách	Cao
Ngày xuất bản CVE	2026-03-23
URL nguồn	CVE-2026-1800

Khẩn cấp: Tiêm SQL trong “Quản lý Phông chữ | Phông chữ Tùy chỉnh” (<= 1.2) — Những gì Chủ sở hữu Trang WordPress Cần Làm Ngay

Đã xuất bản: 23 Tháng 3, 2026
Mức độ nghiêm trọng: Cao — CVSS 9.3 (CVE-2026-1800)
Các phiên bản bị ảnh hưởng: phiên bản plugin <= 1.2
Quyền yêu cầu: Không xác thực (bất kỳ khách truy cập nào)

Là một đội ngũ bảo mật WordPress hoạt động một Tường lửa Ứng dụng Web chuyên nghiệp (WAF) và dịch vụ phản ứng sự cố, chúng tôi tại WP‑Firewall đang phát hành một thông báo chi tiết, thực tiễn cho các chủ sở hữu và quản trị viên trang web. Một lỗ hổng tiêm SQL nghiêm trọng đã được công bố trong plugin Quản lý Phông chữ | Phông chữ Tùy chỉnh (các phiên bản lên đến và bao gồm 1.2). Lỗ hổng này có thể được kích hoạt bởi các yêu cầu không xác thực thông qua fmcfIdSelectedFnt tham số và cho phép kẻ tấn công tương tác trực tiếp với cơ sở dữ liệu.

Bài viết này giải thích lỗ hổng này có nghĩa là gì, cách phát hiện nó, các bước thực tiễn để giảm thiểu và khắc phục, những gì cần làm nếu bạn nghi ngờ có sự xâm phạm, và cách WP‑Firewall bảo vệ trang web của bạn — bao gồm một kế hoạch Cơ bản không tốn phí mà bạn có thể kích hoạt ngay lập tức.

---

Tóm tắt điều hành (những gì bạn cần biết ngay bây giờ)

• Plugin chứa một vector tiêm SQL không xác thực thông qua tham số HTTP fmcfIdSelectedFnt.
• Một kẻ tấn công không xác thực có thể tiêm SQL vào một truy vấn tương tác với cơ sở dữ liệu WordPress.
• Tác động bao gồm tiết lộ dữ liệu, sửa đổi dữ liệu, xâm phạm tài khoản người dùng và chiếm quyền kiểm soát toàn bộ trang web tùy thuộc vào các cấu hình trang khác.
• Không có bản vá do nhà cung cấp cung cấp có sẵn tại thời điểm công bố cho các phiên bản <= 1.2. Cần giảm thiểu ngay lập tức.
• Nếu bạn chạy plugin này: gỡ bỏ nó, vô hiệu hóa nó, hoặc áp dụng vá ảo (quy tắc WAF) cho đến khi có bản vá chính thức.
• Người dùng WP‑Firewall có thể kích hoạt một quy tắc giảm thiểu ngay lập tức để chặn các nỗ lực khai thác trong khi bạn quyết định về việc khắc phục.

---

Lỗ hổng này là gì? Tổng quan kỹ thuật

Lỗ hổng này là một tiêm SQL (SQLi) có thể bị khai thác mà không cần xác thực. Đầu vào dễ bị tổn thương là một tham số có tên fmcfIdSelectedFnt được xử lý bởi plugin và được đưa vào một câu lệnh SQL mà không có xác thực đầu vào hoặc tham số hóa đầy đủ.

Tại sao điều này lại quan trọng:

• Tiêm SQL cho phép kẻ tấn công thao tác với động cơ truy vấn cơ sở dữ liệu. Tùy thuộc vào ngữ cảnh truy vấn, kẻ tấn công có thể đọc các hàng cơ sở dữ liệu tùy ý, sửa đổi hoặc xóa dữ liệu, tạo tài khoản quản trị, hoặc thực hiện các hành động dẫn đến việc xâm phạm toàn bộ trang web.
• Không xác thực có nghĩa là kẻ tấn công không cần phải là người dùng WordPress đã đăng nhập — họ có thể là một khách truy cập mới từ internet.
• Điểm CVSS được mô tả là 9.3 phản ánh tính nghiêm trọng của SQLi không xác thực trên các ứng dụng web.

Ghi chú kỹ thuật (mức cao):

• Bề mặt tấn công là một tham số HTTP được truyền đến một điểm cuối của plugin (GET hoặc POST).
• Plugin không thực hiện việc làm sạch hoặc sử dụng các truy vấn có tham số cho giá trị được cung cấp.
• Một đầu vào độc hại có thể thay đổi logic truy vấn SQL dự kiến.

Chúng tôi cố ý tránh chia sẻ các payload khai thác hoặc chuỗi truy vấn trong thông báo này vì những điều đó có thể được sử dụng cho tự động hóa độc hại. Sự tập trung bên dưới là vào phát hiện, giảm thiểu và xử lý an toàn.

---

Cách mà một kẻ tấn công có thể khai thác nó — các kịch bản tấn công thực tế

Hiểu các kịch bản tấn công giúp ưu tiên phản ứng:

1. Đánh cắp dữ liệu quy mô lớn
   • Kẻ tấn công có thể đọc nội dung của wp_người dùng, wp_usermeta, hoặc các bảng tùy chỉnh tùy thuộc vào ngữ cảnh truy vấn.
   • Các băm người dùng bị đánh cắp có thể bị tấn công bằng brute-force ngoại tuyến hoặc được sử dụng để chuyển sang các hệ thống khác nơi thông tin đăng nhập đã được tái sử dụng.
2. Tăng quyền / tạo tài khoản
   • Trong nhiều trường hợp SQLi, kẻ tấn công có thể chèn dữ liệu để tạo một bản ghi quản trị viên mới trong wp_người dùng, sau đó thiết lập các mục meta cần thiết trong wp_usermeta. Điều đó dẫn đến việc chiếm đoạt trực tiếp trang web.
3. Sửa đổi trang web / làm giả / duy trì
   • SQLi có thể được sử dụng để sửa đổi tùy chọn, chèn bài viết độc hại, hoặc thay đổi cài đặt plugin/theme mà có thể được sử dụng để cài đặt backdoor.
4. Khai thác hàng loạt
   • Bởi vì điều này là không xác thực và là một plugin phổ biến, kẻ tấn công thường xây dựng các trình quét tự động để kiểm tra nhiều trang WordPress và cố gắng khai thác chúng hàng loạt.

Với những điều trên, hãy coi bất kỳ trang web nào đang hoạt động với plugin này là ưu tiên cao cho việc giảm thiểu ngay lập tức.

---

Phát hiện — những gì cần tìm trong nhật ký và hành vi

Nếu bạn vận hành một stack lưu trữ hoặc một sản phẩm bảo mật, hãy theo dõi các mẫu sau. Đây là các gợi ý phát hiện, không phải chữ ký khai thác.

• Các yêu cầu không mong đợi đến các điểm cuối plugin nơi fmcfIdSelectedFnt có mặt:
  • Mẫu nhật ký ví dụ: yêu cầu với tham số fmcfIdSelectedFnt chứa các ký tự bất thường (khoảng trắng, dấu ngoặc kép, dấu đánh dấu bình luận, từ khóa SQL dự trữ).
• Phản hồi 400/500 lặp lại đến cùng một URL từ cùng một IP từ xa hoặc từ nhiều IP có độ tin cậy thấp (hành vi quét).
• Các yêu cầu POST/GET nhanh với các giá trị khác nhau cho fmcfIdSelectedFnt (các nỗ lực thăm dò).
• Lỗi cơ sở dữ liệu trong nhật ký PHP/WordPress của bạn tham chiếu đến lỗi cú pháp SQL sau khi các điểm cuối plugin được truy cập.
• Người dùng quản trị không mong đợi, bài viết mới, hoặc thay đổi tùy chọn ngay sau các yêu cầu nghi ngờ.
• Kết nối ra ngoài hoặc tác vụ theo lịch mà bạn không tạo ra.

Mẫu dấu vân tay nhật ký phát hiện (đã được làm sạch, để khớp mẫu):

[access-log] 192.0.2.123 - - [23/Mar/2026:10:04:12 +0000] "GET /wp-admin/admin-ajax.php?action=fmcf_action&fmcfIdSelectedFnt=... HTTP/1.1" 200 512 "-" "Mozilla/5.0"

Đặt cảnh báo giám sát cho:

• Các mẫu lỗi bao gồm “cú pháp SQL” hoặc “mysql_fetch” sau khi các điểm cuối plugin bị truy cập.
• Các sự kiện tạo người dùng quản trị mới trong wp_người dùng bởi bất kỳ tác nhân không phải quản trị nào hoặc vào giờ kỳ lạ.

---

Các bước giảm thiểu ngay lập tức (cần làm trong 1–2 giờ tới)

1. Xác định các trang web bị ảnh hưởng
   • Sử dụng danh sách plugin WP admin hoặc kiểm tra hệ thống tệp để xác nhận plugin đã được cài đặt và phiên bản ≤ 1.2.
   • Nếu bạn có nhiều trang, hãy chạy một danh sách tự động để xác định các trường hợp của plugin.
2. Nếu có thể, hãy tạm thời đưa trang web offline hoặc chuyển sang chế độ bảo trì.
   • Điều này là tùy chọn nhưng được khuyến nghị cho các trang web có lưu lượng truy cập cao hoặc có rủi ro cao trong khi bạn thực hiện.
3. Nếu có bản cập nhật từ tác giả plugin, hãy áp dụng nó. LƯU Ý: Tại thời điểm xuất bản, không có phiên bản vá lỗi chính thức nào có sẵn cho các phiên bản dễ bị tổn thương đã chỉ định - đừng giả định rằng có một bản vá. Xác minh nhật ký thay đổi của plugin và thông tin liên lạc của nhà cung cấp.
4. Nếu không có bản vá, hãy gỡ cài đặt hoặc vô hiệu hóa plugin.
   • Vô hiệu hóa từ WP admin hoặc xóa thư mục plugin qua SFTP.
   • Nếu plugin là cần thiết vì lý do kinh doanh và không thể vô hiệu hóa, hãy áp dụng vá ảo WAF (chặn / làm sạch tham số dễ bị tổn thương) - hướng dẫn bên dưới.
5. Áp dụng quy tắc WAF hoặc vá ảo để ngăn chặn các nỗ lực khai thác (được khuyến nghị nếu bạn không thể gỡ bỏ plugin).
   • Chặn bất kỳ yêu cầu bên ngoài nào chứa các ký tự meta SQL nghi ngờ trong fmcfIdSelectedFnt tham số.
   • Chặn các yêu cầu không xác thực đến các điểm cuối plugin cụ thể nếu những điểm cuối đó không nên công khai.
6. Thay đổi thông tin đăng nhập và xem xét quyền truy cập nếu bạn nghi ngờ bị xâm phạm:
   • Đặt lại mật khẩu cho các quản trị viên WordPress, FTP/SFTP, cPanel và mật khẩu người dùng cơ sở dữ liệu nếu nghi ngờ có sự xâm nhập.
7. Xem xét trang web của bạn để tìm các chỉ báo của sự xâm phạm (xem phần bên dưới).

---

Khuyến nghị giảm thiểu WAF (vá ảo) - ví dụ và hướng dẫn

Nếu bạn không thể gỡ bỏ plugin ngay lập tức, vá ảo qua WAF là cách nhanh nhất để chặn lưu lượng khai thác. Dưới đây là những gợi ý an toàn, không cụ thể cho khai thác mà bạn có thể thực hiện trong hầu hết các giao diện WAF hoặc bảng điều khiển hosting. Đây là các quy tắc khái niệm - cú pháp chính xác phụ thuộc vào WAF của bạn.

1. Chặn nội dung tham số nghi ngờ
   • Từ chối các yêu cầu mà fmcfIdSelectedFnt chứa các ký tự thường được sử dụng cho SQL injection (dấu nháy đơn, dấu nháy kép, dấu chấm phẩy, mã thông báo bình luận, từ khóa SQL) và yêu cầu không được xác thực.

   Giả mã / logic:

   • NẾU yêu cầu chứa tham số fmcfIdSelectedFnt
   • VÀ giá trị tham số khớp với mẫu regex: [\x27\x22;#/*\b(UNION|SELECT|INSERT|UPDATE|DELETE|DROP)\b] (không phân biệt chữ hoa chữ thường)
   • Sau đó, yêu cầu khối (trả về 403)

   Ghi chú: Cho phép các giá trị số hợp lệ hoặc an toàn. Điều chỉnh mẫu cho phép theo cách sử dụng plugin của bạn (nếu plugin thường truyền một ID số nguyên duy nhất, chỉ cho phép các chữ số).

2. Hạn chế quyền truy cập vào các điểm cuối của plugin
   • Nếu các điểm cuối dễ bị tổn thương chỉ dành cho việc sử dụng của quản trị viên đã xác thực, hãy hạn chế chúng bằng cách:
     • Chỉ cho phép truy cập từ các phiên quản trị viên đã xác thực (xác minh cookie).
     • Giới hạn theo các dải IP cho phép (các IP quản trị viên nội bộ).
     • Chặn các yêu cầu GET hoặc POST từ các khách hàng ẩn danh đến những điểm cuối đó.
3. Giới hạn tỷ lệ và kiểm tra hành vi
   • Giới hạn tỷ lệ truy cập vào các điểm cuối của plugin để làm chậm quá trình quét và các nỗ lực khai thác tự động.
   • Chặn các IP có nhiều lần quét thất bại và các mẫu yêu cầu hung hãn.
4. Chặn các yêu cầu có chuỗi lỗi cơ sở dữ liệu trong phản hồi
   • Nếu bạn phát hiện rằng một điểm cuối thường trả về văn bản lỗi SQL, hãy sử dụng WAF của bạn để chặn và trả về một trang lỗi chung, ngăn chặn rò rỉ.

Quan trọng: Những quy tắc này là các biện pháp giảm thiểu tạm thời và nên được kết hợp với việc gỡ bỏ hoặc cập nhật plugin. Bản vá ảo giảm thiểu rủi ro nhưng không sửa chữa vấn đề mã nguồn cơ bản.

---

Cách kiểm tra sự xâm phạm — chỉ báo, tệp và truy vấn

Nếu trang web của bạn nhận được lưu lượng nghi ngờ trước đó hoặc bạn không chắc chắn về một sự cố, hãy thực hiện một cuộc điều tra tập trung:

1. Kiểm tra nhật ký truy cập và lỗi
   • Tìm kiếm fmcfIdSelectedFnt các yêu cầu từ các IP không xác định.
   • Tìm kiếm nhật ký cho các thông điệp lỗi SQL và hoạt động POST nghi ngờ.
2. Kiểm tra wp_người dùng Và wp_usermeta
   • Tìm kiếm người dùng mới với vai trò quản trị viên mà bạn không nhận ra.
   • Kiểm tra lần_đăng_nhập_cuối (nếu được lưu trữ), người_dùng_đã_đăng_ký dấu thời gian.
3. Quét các tệp đã được sửa đổi
   • Sử dụng công cụ kiểm tra tính toàn vẹn tệp hoặc Git diff (nếu trang web của bạn đang được kiểm soát phiên bản).
   • Tìm các tệp PHP đã được sửa đổi gần đây trong wp-nội dung, wp-includes, và các thư mục gốc.
4. Tìm kiếm nội dung đáng ngờ trong cơ sở dữ liệu
   • Kiểm tra wp_tùy_chọn cho các tùy chọn tự động tải không mong muốn hoặc các tập lệnh được chèn trong các giá trị tùy chọn như siteurl hoặc home.
   • Kiểm tra các bài đăng để tìm iframe ẩn, đánh giá(), chuỗi base64, hoặc JavaScript bị làm rối.
5. Nhiệm vụ đã lên lịch và cron
   • Liệt kê các hook cron WordPress đang hoạt động (wp_cron) và các sự kiện đã lên lịch cho các tác vụ không xác định.
6. Kết nối ra ngoài
   • Kiểm tra các kết nối mạng bên ngoài bất thường từ máy chủ, điều này có thể báo hiệu việc rò rỉ dữ liệu hoặc các cuộc gọi lại đến các máy chủ C2.

Nếu bạn tìm thấy các chỉ báo của sự xâm phạm, hãy cách ly trang web ngay lập tức (ngắt kết nối) và tiến hành kế hoạch kiểm soát và phục hồi toàn diện.

---

Danh sách kiểm tra phản ứng sự cố (từng bước)

1. Cô lập
   • Đưa trang web bị ảnh hưởng vào chế độ bảo trì.
   • Thu hồi quyền truy cập của kẻ tấn công bằng cách vô hiệu hóa các tuyến mạng nếu cần.
2. Bảo quản bằng chứng
   • Sao lưu nhật ký, cơ sở dữ liệu và ảnh chụp hệ thống tệp để phân tích pháp y.
   • Không ghi đè lên bằng chứng.
3. Bao gồm
   • Vô hiệu hóa hoặc gỡ bỏ plugin dễ bị tổn thương.
   • Áp dụng các quy tắc WAF để chặn mẫu khai thác.
4. Diệt trừ
   • Gỡ bỏ các web shell, người dùng quản trị không được phép và các tệp độc hại.
   • Khôi phục các tệp sạch từ một bản sao lưu tốt đã biết nếu cần.
5. Hồi phục
   • Cập nhật hoặc cài đặt lại các plugin/giao diện/core.
   • Cấp lại thông tin xác thực và xoay vòng khóa.
   • Tăng cường bảo mật cho trang web (xem danh sách kiểm tra tăng cường bên dưới).
6. Xem xét và học hỏi
   • Thực hiện phân tích hậu sự cố để xác định cách kẻ tấn công thành công và các bước cải thiện phòng thủ.
   • Áp dụng các biện pháp lâu dài: giám sát liên tục, sao lưu định kỳ và dịch vụ vá lỗi ảo.

---

Danh sách kiểm tra tăng cường (trước và sau khi khắc phục)

• Cập nhật lõi, chủ đề và plugin của WordPress.
• Giới hạn việc sử dụng plugin chỉ cho các plugin thiết yếu, được duy trì tích cực.
• Thiết lập mật khẩu mạnh và xác thực đa yếu tố (MFA) cho các tài khoản quản trị.
• Sử dụng quyền tối thiểu cho người dùng DB — tránh sử dụng người dùng DB có quyền superuser.
• Hạn chế wp-admin Và wp-login.php theo IP hoặc thêm xác thực bổ sung.
• Triển khai giám sát tính toàn vẹn tệp và quét phần mềm độc hại định kỳ.
• Duy trì sao lưu ngoài site hàng ngày và kiểm tra khôi phục định kỳ.
• Sử dụng WAF chuyên nghiệp để cung cấp vá lỗi ảo và lọc lưu lượng.
• Giám sát nhật ký và cảnh báo liên tục và đăng ký các nguồn thông tin an ninh đáng tin cậy.

---

Cách WP‑Firewall giúp — bảo vệ ngay lập tức và liên tục

Tại WP‑Firewall, chúng tôi áp dụng phương pháp phòng thủ đa lớp kết hợp phát hiện chủ động, vá lỗi ảo và phản ứng sự cố. Đây là cách sản phẩm và dịch vụ của chúng tôi trực tiếp giảm thiểu loại lỗ hổng này:

1. Quy tắc WAF được quản lý và vá ảo
   • Chúng tôi triển khai các quy tắc chặn các nỗ lực khai thác chống lại các đầu vào dễ bị tổn thương đã biết (như fmcfIdSelectedFnt) mà không chờ đợi các bản vá của nhà cung cấp.
   • Các bản vá ảo có rủi ro thấp và được kiểm tra để tránh các cảnh báo sai trên lưu lượng hợp pháp.
2. Chặn tấn công theo thời gian thực
   • WAF của chúng tôi chặn các công cụ quét tự động và bộ công cụ khai thác tìm kiếm các nỗ lực SQLi không xác thực.
   • Chúng tôi cũng giới hạn tỷ lệ và xác định các mẫu quét phân tán để ngăn chặn khai thác hàng loạt.
3. Quét tự động và cảnh báo
   • Các trang trên nền tảng của chúng tôi nhận được quét lỗ hổng định kỳ và thông báo nếu phát hiện plugin có lỗ hổng.
   • Chúng tôi theo dõi các nỗ lực khai thác và cung cấp hướng dẫn giảm thiểu ngay lập tức.
4. Hỗ trợ điều tra và khắc phục
   • Nếu nghi ngờ có sự xâm phạm, hỗ trợ của WP‑Firewall có thể giúp điều tra, kiểm soát và lập kế hoạch phục hồi.
   • Chúng tôi cung cấp hướng dẫn về việc thay đổi thông tin đăng nhập, dọn dẹp và khôi phục từ bản sao lưu.
5. Vệ sinh liên tục và báo cáo
   • Khách hàng Pro nhận báo cáo an ninh hàng tháng và xử lý lỗ hổng ưu tiên.
   • Kế hoạch Cơ bản của chúng tôi bao gồm các biện pháp bảo vệ thiết yếu ngăn chặn các cuộc tấn công phổ biến và các rủi ro OWASP Top 10.

Chúng tôi không thể nhấn mạnh đủ tầm quan trọng của việc vá ảo cho các lỗ hổng mà bản vá chính thức không có sẵn hoặc bị trì hoãn. Nó mua thời gian quan trọng và giảm thiểu rủi ro trong khi bạn lập kế hoạch khắc phục vĩnh viễn.

---

Chỉ số của sự xâm phạm (IoCs) — ví dụ để tìm kiếm

Dưới đây là các loại IoCs cần tìm kiếm. Đây là các loại chung, không cụ thể cho khai thác, nhằm giúp các đội phát hiện xác định hoạt động đáng ngờ.

• Các mẫu yêu cầu HTTP:
  • Các yêu cầu bao gồm tên tham số: fmcfIdSelectedFnt
  • Các yêu cầu với giá trị tham số có độ ngẫu nhiên cao hoặc ký tự bất thường trong fmcfIdSelectedFnt
• Nhật ký máy chủ:
  • Thông báo lỗi SQL gần các tệp plugin, ví dụ: lỗi tham chiếu đến đường dẫn tệp plugin.
  • Tần suất cao của các phản hồi 4xx hoặc 5xx đến các điểm cuối plugin.
• Các hiện vật WordPress:
  • Người dùng quản trị mới với tên người dùng đáng ngờ.
  • Các sửa đổi không mong đợi đối với wp_tùy_chọn (siteurl/home), các mục active_plugins, hoặc các tệp theme.
• Hệ thống tệp:
  • Các tệp PHP với PHP bị làm mờ (base64_decode + đánh giá).
  • Các tập tin mới trong wp-content/tải lên với phần mở rộng .php.

Khi bạn phát hiện bất kỳ điều gì ở trên, hãy coi đó là một sự cố ưu tiên cao và làm theo danh sách kiểm tra phản ứng sự cố.

---

Hướng dẫn giao tiếp cho các chủ sở hữu và quản trị viên trang web

Nếu bạn quản lý nhiều trang web hoặc cung cấp dịch vụ lưu trữ, hãy giao tiếp rõ ràng:

• Thông báo cho các bên liên quan rằng plugin có lỗ hổng không xác thực nghiêm trọng.
• Khuyến nghị hành động ngay lập tức: gỡ bỏ/vô hiệu hóa plugin hoặc áp dụng các bản vá ảo WAF.
• Cung cấp thời gian: cho biết rằng bản vá của nhà cung cấp có thể chưa có sẵn và rằng việc vá ảo là một biện pháp tạm thời an toàn.
• Cung cấp các bước khắc phục và đề nghị hỗ trợ từ xa nếu cần.

---

Những câu hỏi thường gặp

Hỏi: Tôi có nên xóa plugin hay chỉ vô hiệu hóa nó?
Đáp: Nếu bạn thực sự cần chức năng của plugin và không thể tạm thời gỡ bỏ nó, hãy chỉ vô hiệu hóa nếu việc vô hiệu hóa làm gián đoạn chức năng quan trọng; nếu không, hãy gỡ bỏ cho đến khi có bản vá an toàn. Việc vá ảo với WAF là một biện pháp giảm thiểu tạm thời chấp nhận được.

Hỏi: Điều gì sẽ xảy ra nếu trang web của tôi được vá bởi tác giả plugin sau thông báo này?
Đáp: Nếu một bản cập nhật chính thức có sẵn, hãy thử nghiệm trong môi trường staging và sau đó cập nhật trên môi trường sản xuất. Sau khi cập nhật, quét trang web để tìm dấu hiệu bị xâm phạm và xác minh tính toàn vẹn.

Hỏi: Các bản sao lưu plugin có an toàn để khôi phục nếu chúng được thực hiện khi plugin đang hoạt động không?
Đáp: Hãy cẩn thận — các bản sao lưu được thực hiện khi plugin có mặt có thể chứa các sửa đổi độc hại nếu có sự xâm phạm xảy ra. Xác minh các bản sao lưu và quét chúng trước khi khôi phục.

---

Danh sách kiểm tra: Hành động ngay lập tức (tóm tắt một trang)

• Kiểm kê các trang web và xác định các phiên bản plugin (phiên bản ≤ 1.2).
• Nếu plugin có mặt: hãy vô hiệu hóa hoặc gỡ bỏ ngay lập tức, HOẶC áp dụng bản vá ảo WAF.
• Áp dụng quy tắc WAF chặn các yêu cầu đáng ngờ fmcfIdSelectedFnt giá trị.
• Kiểm tra nhật ký để tìm các yêu cầu đáng ngờ và lỗi SQL.
• Quét để tìm người dùng quản trị mới, các tệp đã thay đổi và các tác vụ đã lên lịch.
• Thay đổi thông tin xác thực (quản trị, FTP, DB) nếu phát hiện hoạt động đáng ngờ.
• Sao lưu chứng cứ và khởi động phản ứng sự cố nếu nghi ngờ bị xâm phạm.
• Đăng ký nhận thông báo từ nhà cung cấp để cập nhật và thực hiện vá lỗi chính thức khi có sẵn.

---

Bảo vệ trang web của bạn ngay bây giờ — Thử gói miễn phí của WP‑Firewall

Nếu bạn muốn có sự bảo vệ cơ bản ngay lập tức trong khi đánh giá và khắc phục, hãy xem xét gói Cơ bản (Miễn phí) của chúng tôi tại WP‑Firewall. Nó cung cấp sự bảo vệ thiết yếu, được quản lý để chặn các mẫu tấn công đã biết và giảm thiểu khả năng bị khai thác trong các khoảng thời gian zero-day.

Điểm nổi bật của gói (Cơ bản — Miễn phí):

• Tường lửa được quản lý với WAF đã được tinh chỉnh để chặn các đầu vào độc hại và dấu vết tấn công.
• Băng thông không giới hạn trong khi bảo vệ trang web của bạn khỏi các trình quét tự động và các nỗ lực khai thác.
• Trình quét phần mềm độc hại để tìm các tệp và thay đổi đáng ngờ.
• Các biện pháp giảm thiểu cho 10 rủi ro hàng đầu của OWASP để giảm khả năng tấn công thành công.

Để có sự bảo vệ đơn giản và giảm thiểu nhanh chóng các mối đe dọa như tấn công SQL không xác thực trong Fonts Manager | Custom Fonts, bạn có thể đăng ký gói miễn phí tại đây:
https://my.wp-firewall.com/buy/wp-firewall-free-plan/

Nếu bạn cần dọn dẹp nhanh hơn, tự động và vá lỗi ảo, các gói trả phí của chúng tôi bao gồm việc loại bỏ phần mềm độc hại tự động, vá lỗi ảo, báo cáo bảo mật hàng tháng và hỗ trợ khắc phục chuyên dụng.

---

Ghi chú cuối cùng và tiết lộ có trách nhiệm

Thông báo này được viết để giúp các chủ sở hữu và quản trị viên trang web bảo vệ các trang WordPress của họ. Chúng tôi tránh chia sẻ mã khai thác để ngăn chặn việc tái sử dụng độc hại — mục tiêu là giảm thiểu nhanh chóng và an toàn. Nếu bạn điều hành các trang bị ảnh hưởng, hãy hành động ngay lập tức: gỡ bỏ hoặc vô hiệu hóa plugin, áp dụng các biện pháp bảo vệ WAF và điều tra nhật ký để tìm bất kỳ khai thác nào trong quá khứ.

Nếu bạn cần hỗ trợ, WP‑Firewall cung cấp khắc phục có hướng dẫn, phản ứng sự cố và vá lỗi ảo liên tục để giảm thiểu khả năng bị xâm phạm cho đến khi có bản sửa chữa vĩnh viễn. Chúng tôi cũng cung cấp sự bảo vệ Cơ bản miễn phí chặn các nỗ lực khai thác phổ biến — một bước đầu thực tế cho bất kỳ chủ sở hữu trang web nào.

Hãy cảnh giác, giữ cho phần mềm được cập nhật và củng cố các triển khai WordPress của bạn. Nếu bạn có câu hỏi hoặc cần giúp đỡ trong việc áp dụng các bước trên, hãy liên hệ với đội ngũ hỗ trợ của chúng tôi qua bảng điều khiển WP‑Firewall của bạn.

---

Tài liệu tham khảo (dành cho quản trị viên và các nhóm kỹ thuật):
– CVE: CVE-2026-1800 (mã định danh thông báo công khai; kiểm tra cơ sở dữ liệu CVE chính thức để cập nhật)
– Các thực hành tốt nhất về tăng cường bảo mật SQL và hướng dẫn của OWASP

(Kết thúc tư vấn)