404 Not Found
Writer
WordPress hiện là nền tảng quản lý nội dung (CMS) phổ biến nhất thế giới, chiếm hơn 40% số lượng website toàn cầu và cũng được cộng đồng Việt Nam ưa chuộng. Từ blog cá nhân, trang tin tức cho đến website doanh nghiệp, hàng trăm nghìn trang tại Việt Nam đang chạy trên WordPress nhờ dễ sử dụng và kho plugin phong phú. Tuy nhiên, chính sự tiện lợi ấy lại khiến nền tảng này trở thành “miếng mồi” hấp dẫn với tin tặc, đặc biệt khi người dùng chậm cập nhật các plugin bảo mật.
Chỉ trong hai ngày 8–9/10, hệ thống bảo mật Wordfence đã ghi nhận hơn 8,7 triệu lượt tấn công nhắm vào các trang WordPress trên toàn cầu. Đây là một chiến dịch có quy mô lớn và được tổ chức bài bản, khi tin tặc khai thác lỗ hổng trong hai plugin phổ biến là GutenKit và Hunk Companion để chiếm quyền điều khiển trang web từ xa.
Theo chuyên gia của WhiteHat, chiến dịch này cho thấy mức độ nguy hiểm của việc sử dụng plugin lỗi thời hoặc chưa được vá bảo mật. Chỉ cần một plugin cũ tồn tại trong hệ thống, toàn bộ website có thể bị kiểm soát, cài mã độc hoặc đánh cắp dữ liệu quản trị.
Cách tấn công diễn ra có tính chuỗi. Tin tặc quét hàng loạt website để tìm những plugin dễ khai thác, sau đó cài thêm plugin giả mạo nhằm mở đường truy cập bí mật vào máy chủ. Khi đã chiếm được quyền điều khiển, chúng có thể tải, xóa hoặc thay đổi tệp, chiếm tài khoản quản trị, chỉnh sửa nội dung trang web hoặc sử dụng máy chủ đó cho các cuộc tấn công tiếp theo.
Điều đáng nói là các bản vá bảo mật cho GutenKit và Hunk Companion đã được phát hành từ cuối năm 2024, nhưng đến nay vẫn còn rất nhiều trang chưa cập nhật. Chính sự chậm trễ này đã tạo ra một “bể mục tiêu” khổng lồ cho chiến dịch tấn công lan rộng chỉ trong vài ngày.
Các chuyên gia khuyến nghị quản trị viên kiểm tra và cập nhật ngay lập tức tất cả plugin lên phiên bản mới nhất, đặc biệt là GutenKit và Hunk Companion. Nên thường xuyên rà soát plugin không còn sử dụng, gỡ bỏ các thành phần không rõ nguồn gốc và bật tường lửa ứng dụng web để chặn các yêu cầu đáng ngờ.
Chiến dịch lần này là lời cảnh báo rõ ràng về việc phụ thuộc vào plugin bên thứ ba mà thiếu kiểm soát. Trong hệ sinh thái WordPress, chỉ một thành phần nhỏ bị bỏ quên cũng đủ để tạo kẽ hở cho tin tặc. Cập nhật thường xuyên, giám sát liên tục và có quy trình quản lý chặt chẽ là những yếu tố then chốt để bảo vệ website trước những chiến dịch tấn công ngày càng tinh vi.
Chỉ trong hai ngày 8–9/10, hệ thống bảo mật Wordfence đã ghi nhận hơn 8,7 triệu lượt tấn công nhắm vào các trang WordPress trên toàn cầu. Đây là một chiến dịch có quy mô lớn và được tổ chức bài bản, khi tin tặc khai thác lỗ hổng trong hai plugin phổ biến là GutenKit và Hunk Companion để chiếm quyền điều khiển trang web từ xa.
Theo chuyên gia của WhiteHat, chiến dịch này cho thấy mức độ nguy hiểm của việc sử dụng plugin lỗi thời hoặc chưa được vá bảo mật. Chỉ cần một plugin cũ tồn tại trong hệ thống, toàn bộ website có thể bị kiểm soát, cài mã độc hoặc đánh cắp dữ liệu quản trị.
Cách tấn công diễn ra có tính chuỗi. Tin tặc quét hàng loạt website để tìm những plugin dễ khai thác, sau đó cài thêm plugin giả mạo nhằm mở đường truy cập bí mật vào máy chủ. Khi đã chiếm được quyền điều khiển, chúng có thể tải, xóa hoặc thay đổi tệp, chiếm tài khoản quản trị, chỉnh sửa nội dung trang web hoặc sử dụng máy chủ đó cho các cuộc tấn công tiếp theo.
Điều đáng nói là các bản vá bảo mật cho GutenKit và Hunk Companion đã được phát hành từ cuối năm 2024, nhưng đến nay vẫn còn rất nhiều trang chưa cập nhật. Chính sự chậm trễ này đã tạo ra một “bể mục tiêu” khổng lồ cho chiến dịch tấn công lan rộng chỉ trong vài ngày.
Các chuyên gia khuyến nghị quản trị viên kiểm tra và cập nhật ngay lập tức tất cả plugin lên phiên bản mới nhất, đặc biệt là GutenKit và Hunk Companion. Nên thường xuyên rà soát plugin không còn sử dụng, gỡ bỏ các thành phần không rõ nguồn gốc và bật tường lửa ứng dụng web để chặn các yêu cầu đáng ngờ.
Chiến dịch lần này là lời cảnh báo rõ ràng về việc phụ thuộc vào plugin bên thứ ba mà thiếu kiểm soát. Trong hệ sinh thái WordPress, chỉ một thành phần nhỏ bị bỏ quên cũng đủ để tạo kẽ hở cho tin tặc. Cập nhật thường xuyên, giám sát liên tục và có quy trình quản lý chặt chẽ là những yếu tố then chốt để bảo vệ website trước những chiến dịch tấn công ngày càng tinh vi.
Theo whitehat.vn
Được phối hợp thực hiện bởi các chuyên gia của Bkav,
cộng đồng An ninh mạng Việt Nam WhiteHat
và cộng đồng Khoa học công nghệ VnReview
