Cảnh Báo Bảo Mật Tuần: Lỗ Hổng Thực Thi Mã Từ Xa Nghiêm Trọng Trong Drupal Core Và WordPress Đe Dọa Doanh Nghiệp

Trong hoạt động vận hành doanh nghiệp hiện đại, hệ thống quản trị nội dung (CMS) như Drupal và WordPress là nền tảng cốt lõi cho website thương mại, cổng thông tin khách hàng và kênh truyền thông thương hiệu. Tuy nhiên, các cập nhật an ninh khẩn cấp giữa tháng 10 năm 2026 cho thấy kẻ tấn công đang tập trung khai thác sâu vào các thành phần CMS phổ biến để chiếm quyền điều khiển hệ thống.

Tóm tắt dành cho lãnh đạo

Drupal Security Team vừa phát hành cảnh báo SA-CORE-2026-014 (CVE-2026-108097) ở mức nguy cơ Critical (19/25) cho phép thực thi mã từ xa (RCE) thông qua module Field UI.
Plugin Bricksforge trên WordPress gặp lỗ hổng RCE điểm tuyệt đối CVSS 10.0 (CVE-2026-85097) và hiện đang bị khai thác thực tế trên diện rộng.
Các lỗ hổng này cho phép kẻ tấn công không cần xác thực có thể chèn mã độc, chiếm quyền điều khiển máy chủ, lấy cắp dữ liệu khách hàng hoặc gián đoạn dịch vụ.
Doanh nghiệp cần cập nhật bản vá ngay lập tức hoặc áp dụng phương án giảm thiểu trong 24 đến 72 giờ tới để tránh nguy cơ bị xâm nhập.

Chuyện gì đang xảy ra với Drupal và hệ sinh thái CMS?

Ngày 14 tháng 10 năm 2026, Drupal Security Team công bố cảnh báo an ninh nghiêm trọng SA-CORE-2026-014 đối với module Field UI trong Drupal Core. Lỗ hổng này ảnh hưởng tới tất cả các phiên bản Drupal từ 8.9.0 đến 11.4.9. Dù mã nguồn gốc của Drupal Core không bị khai thác trực tiếp đơn lẻ, kẻ tấn công có thể kết hợp lỗ hổng này với các module mở rộng (contributed modules) hoặc mã nguồn tùy chỉnh (custom code) để thực hiện tấn công thực thi mã từ xa mà không cần đăng nhập.

Đồng thời, cộng đồng an ninh mạng cũng ghi nhận chiến dịch tấn công thực tế nhắm vào plugin Bricksforge trên nền tảng WordPress. Lỗ hổng CVE-2026-85097 đạt điểm CVSS 10.0 tối đa do lỗi xử lý dữ liệu tải lên tạm thời, cho phép đối tượng xấu đưa các tập tin chứa mã độc PHP lên máy chủ và thực thi trực tiếp.

Cách thức tấn công ở mức khái quát

Đối với Drupal, điểm yếu nằm ở cơ chế xử lý tham số giao diện trong module Field UI. Kẻ tấn công lợi dụng việc thiếu sót kiểm tra dữ liệu đầu vào khi kết hợp với các chuỗi xử lý của module thứ ba. Điều này giúp chúng gửi các cấu hình bất hợp pháp để ép máy chủ phiên dịch và thực thi câu lệnh ngoài ý muốn.

Đối với plugin WordPress Bricksforge, kẻ tấn công khai thác cơ chế xác thực tập tin không đồng bộ. Ban đầu, ứng dụng kiểm tra định dạng tập tin ảnh (MIME type) khi tải lên tạm thời. Tuy nhiên, khi gửi biểu mẫu chính thức, hệ thống tin tưởng dữ liệu đường dẫn URL do phía người dùng cung cấp. Kẻ tấn công lợi dụng kẽ hở này để đổi đuôi tập tin thành extension thực thi PHP, dẫn đến việc kích hoạt mã độc trên máy chủ.

Vì sao đây là rủi ro kinh doanh lớn?

Khi máy chủ ứng dụng web bị chiếm quyền điều khiển thông qua lỗ hổng RCE, doanh nghiệp phải đối mặt với nhiều hậu quả nghiêm trọng về mặt vận hành và tài chính. Kẻ tấn công có thể truy cập toàn bộ cơ sở dữ liệu nội bộ, trích xuất thông tin cá nhân khách hàng, thông tin thanh toán hoặc bí mật kinh doanh.

Bên cạnh đó, trang web bị chèn mã độc có thể biến thành công cụ phát tán mã độc khác hoặc tham gia mạng lưới tấn công từ xa, khiến tên miền của doanh nghiệp bị Google đưa vào danh sách đen (blacklist), sụt giảm thứ hạng SEO nghiêm trọng và làm suy giảm niềm tin từ đối tác lẫn khách hàng.

Doanh nghiệp nên làm gì trong 24–72 giờ tới?

Cập nhật Drupal Core lên các phiên bản an toàn mới nhất như 10.6.19, 11.3.19, hoặc 11.4.10 ngay lập tức.
Nếu chưa thể cập nhật Drupal Core ngay, hãy tạm thời gỡ bỏ hoặc vô hiệu hóa module Field UI (field_ui) để chặn chuỗi tấn công.
Đối với website WordPress có sử dụng Bricksforge, nâng cấp plugin lên phiên bản 3.1.8.10 hoặc mới hơn.
Kiểm tra nhật ký truy cập (access logs) máy chủ để phát hiện các truy vấn bất thường tới giao diện Field UI hoặc các tệp PHP lạ trong thư mục upload tạm thời.
Kích hoạt quy tắc tường lửa ứng dụng web (WAF) để ngăn chặn các truy vấn chứa hành vi thay đổi cấu hình tệp hoặc tải lên tệp thực thi.

Các rủi ro doanh nghiệp đáng chú ý khác trong tuần

Ngoài các sự cố liên quan đến CMS, tuần này CISA cũng bổ sung các lỗ hổng nghiêm trọng vào danh mục KEV (Known Exploited Vulnerabilities), bao gồm lỗ hổng bỏ qua xác thực trên Ivanti Connect Secure (CVE-2026-104935) và lỗ hổng chèn mã trên Palo Alto Networks PAN-OS (CVE-2026-0322). Các hạ tầng mạng và thiết bị bảo mật cũng đang là mục tiêu hàng đầu của các nhóm tấn công chuyên nghiệp.

Bài học dài hạn cho bảo mật CMS và hạ tầng số

Chiến lược quản trị an toàn thông tin không thể dừng lại ở việc vá lỗi bị động khi có sự cố. Doanh nghiệp cần xây dựng quy trình quản lý bản vá (patch management) định kỳ, kiểm soát chặt chẽ danh sách plugin/module được phép cài đặt và áp dụng nguyên tắc tối thiểu quyền hạn (Least Privilege) trên máy chủ.

Việc kết hợp giám sát an ninh liên tục, sao lưu dữ liệu tự động độc lập và thiết lập WAF nâng cao sẽ giúp hệ thống của doanh nghiệp duy trì khả năng phục hồi nhanh chóng trước các mối đe dọa mới xuất hiện.

Đồng hành cùng Hanoi Byte nâng cao năng lực bảo mật doanh nghiệp

Nếu doanh nghiệp của bạn đang vận hành website Drupal, WordPress, hệ thống CMS tùy chỉnh hoặc hạ tầng cloud nhưng chưa có quy trình kiểm tra bảo mật và vá lỗi định kỳ, Hanoi Byte có thể đồng hành trong việc đánh giá hiện trạng, đề xuất lộ trình cải thiện và triển khai giải pháp phù hợp. Liên hệ Hanoi Byte để bắt đầu buổi trao đổi chuyên sâu về bảo mật và chuyển đổi số cho doanh nghiệp của bạn.