Lỗ hổng wp2shell trong WordPress Core: cần cập nhật ngay
wp2shell là chuỗi CVE-2026-63030 và CVE-2026-60137, cho phép khai thác REST API batch route cùng SQL injection. WordPress 6.9.0-6.9.4 và 7.0.0-7.0.1 có nguy cơ RCE; 6.8.x chịu SQL injection. Bản vá 6.8.6, 6.9.5, 7.0.2 đã phát hành. Cần kiểm tra phiên bản thật, không dựa vào giả định auto-update. Điều này quan trọng vì nó ảnh hưởng trực tiếp tới cách đội IT đánh giá thay đổi, truyền thông cho người dùng, đặt chính sách, giảm rủi ro hỗ trợ sau triển khai.
Bài viết này được viết lại từ nguồn gốc, tập trung vào ý nghĩa vận hành, rủi ro, cách kiểm tra, kịch bản áp dụng trong môi trường IT thực tế. Nội dung không sao chép nguyên văn, ưu tiên diễn giải dễ hiểu cho quản trị viên, kỹ thuật viên, người ra quyết định.
wp2shell là chuỗi CVE-2026-63030 và CVE-2026-60137, cho phép khai thác REST API batch route cùng SQL injection. WordPress 6.9.0-6.9.4 và 7.0.0-7.0.1 có nguy cơ RCE; 6.8.x chịu SQL injection. Bản vá 6.8.6, 6.9.5, 7.0.2 đã phát hành. Cần kiểm tra phiên bản thật, không dựa vào giả định auto-update. Điều này quan trọng vì nó ảnh hưởng trực tiếp tới cách đội IT đánh giá thay đổi, truyền thông cho người dùng, đặt chính sách, giảm rủi ro hỗ trợ sau triển khai.
wp2shell là chuỗi CVE-2026-63030 và CVE-2026-60137, cho phép khai thác REST API batch route cùng SQL injection. WordPress 6.9.0-6.9.4 và 7.0.0-7.0.1 có nguy cơ RCE; 6.8.x chịu SQL injection. Bản vá 6.8.6, 6.9.5, 7.0.2 đã phát hành. Cần kiểm tra phiên bản thật, không dựa vào giả định auto-update. Điều này quan trọng vì nó ảnh hưởng trực tiếp tới cách đội IT đánh giá thay đổi, truyền thông cho người dùng, đặt chính sách, giảm rủi ro hỗ trợ sau triển khai.
wp2shell là chuỗi CVE-2026-63030 và CVE-2026-60137, cho phép khai thác REST API batch route cùng SQL injection. WordPress 6.9.0-6.9.4 và 7.0.0-7.0.1 có nguy cơ RCE; 6.8.x chịu SQL injection. Bản vá 6.8.6, 6.9.5, 7.0.2 đã phát hành. Cần kiểm tra phiên bản thật, không dựa vào giả định auto-update. Điều này quan trọng vì nó ảnh hưởng trực tiếp tới cách đội IT đánh giá thay đổi, truyền thông cho người dùng, đặt chính sách, giảm rủi ro hỗ trợ sau triển khai.
wp2shell là chuỗi CVE-2026-63030 và CVE-2026-60137, cho phép khai thác REST API batch route cùng SQL injection. WordPress 6.9.0-6.9.4 và 7.0.0-7.0.1 có nguy cơ RCE; 6.8.x chịu SQL injection. Bản vá 6.8.6, 6.9.5, 7.0.2 đã phát hành. Cần kiểm tra phiên bản thật, không dựa vào giả định auto-update. Điều này quan trọng vì nó ảnh hưởng trực tiếp tới cách đội IT đánh giá thay đổi, truyền thông cho người dùng, đặt chính sách, giảm rủi ro hỗ trợ sau triển khai.
wp2shell là chuỗi CVE-2026-63030 và CVE-2026-60137, cho phép khai thác REST API batch route cùng SQL injection. WordPress 6.9.0-6.9.4 và 7.0.0-7.0.1 có nguy cơ RCE; 6.8.x chịu SQL injection. Bản vá 6.8.6, 6.9.5, 7.0.2 đã phát hành. Cần kiểm tra phiên bản thật, không dựa vào giả định auto-update. Điều này quan trọng vì nó ảnh hưởng trực tiếp tới cách đội IT đánh giá thay đổi, truyền thông cho người dùng, đặt chính sách, giảm rủi ro hỗ trợ sau triển khai.
Checklist thực tế
- Đọc phạm vi áp dụng trước khi bật hoặc cập nhật.
- Kiểm tra quyền, nhật ký, cảnh báo, tích hợp liên quan.
- Thử trên nhóm nhỏ trước khi triển khai diện rộng.
- Ghi lại thay đổi để đội vận hành dễ hỗ trợ.
wp2shell là chuỗi CVE-2026-63030 và CVE-2026-60137, cho phép khai thác REST API batch route cùng SQL injection. WordPress 6.9.0-6.9.4 và 7.0.0-7.0.1 có nguy cơ RCE; 6.8.x chịu SQL injection. Bản vá 6.8.6, 6.9.5, 7.0.2 đã phát hành. Cần kiểm tra phiên bản thật, không dựa vào giả định auto-update. Điều này quan trọng vì nó ảnh hưởng trực tiếp tới cách đội IT đánh giá thay đổi, truyền thông cho người dùng, đặt chính sách, giảm rủi ro hỗ trợ sau triển khai.
Kết luận: hãy xử lý theo mức ảnh hưởng thực tế, thử nghiệm trước, ghi nhận cấu hình, theo dõi phản hồi người dùng, quay lại nguồn khi cần chi tiết.
Nguồn: https://thehackernews.com/2026/07/new-wp2shell-wordpress-core-flaw-lets.html