Cảnh Báo Khẩn Cấp: Lỗ Hổng Nghiêm Trọng Trên Plugin WooCommerce Bị Khai Thác Để Chiếm Quyền Điều Khiển Website

Bảo mật thương mại điện tử đang đối mặt với một làn sóng tấn công mới vô cùng nguy hiểm. Trong tuần này, các chuyên gia bảo mật đã phát hiện một chiến dịch tấn công quy mô lớn nhắm vào các website sử dụng nền tảng WordPress và WooCommerce. Nếu doanh nghiệp của bạn đang vận hành một cửa hàng trực tuyến, đây là lúc cần kiểm tra hệ thống ngay lập tức để tránh nguy cơ bị tin tặc kiểm soát hoàn toàn máy chủ và đánh cắp dữ liệu khách hàng.

Tóm tắt dành cho lãnh đạo

• Lỗ hổng nghiêm trọng CVE-2026-27540 (điểm CVSS 9.8) trong plugin WooCommerce Wholesale Lead Capture đang bị khai thác diện rộng trên thực tế.
• Kẻ tấn công không cần tài khoản đăng nhập vẫn có thể tải lên các tệp tin độc hại (PHP web shell) để chiếm quyền điều khiển hoàn toàn website.
• Hơn 100.000 cuộc tấn công đã được ghi nhận và ngăn chặn bởi các đơn vị bảo mật trong thời gian ngắn vừa qua, cho thấy mức độ nguy hiểm cực kỳ cao.
• Khuyến nghị khẩn cấp: Doanh nghiệp cần cập nhật ngay lập tức lên phiên bản 2.0.3.2 và tiến hành rà soát mã độc trên hệ thống.

Chuyện gì đang xảy ra?

WooCommerce Wholesale Lead Capture là một plugin trả phí phổ biến, được khoảng 6.000 website doanh nghiệp sử dụng để quản lý và đăng ký khách hàng mua sỉ (B2B). Lỗ hổng bảo mật được theo dõi dưới mã CVE-2026-27540 ảnh hưởng đến tất cả các phiên bản từ 2.0.3.1 trở xuống của plugin này. Do đây là một tiện ích mở rộng thương mại, nhiều doanh nghiệp sau khi mua đã không gia hạn bản quyền (license), dẫn đến việc không nhận được các bản vá bảo mật tự động và vô tình biến website của mình thành mục tiêu béo bở cho tin tặc.

Cách thức tấn công ở mức khái quát

Lỗ hổng này phát sinh từ việc thiếu bước xác thực định dạng tệp tin ở phía máy chủ (server-side validation) trong một cổng kết nối AJAX công khai có tên 'wwlcfileupload_handler'. Cổng kết nối này vốn được thiết kế để cho phép người dùng tải lên các tài liệu đính kèm khi đăng ký tài khoản bán sỉ. Kẻ tấn công có thể gửi các yêu cầu giả mạo trực tiếp đến cổng kết nối này mà không cần đăng nhập, sau đó tải lên một tệp tin PHP độc hại (thường được ngụy trang dưới dạng tệp tin 'shell.php'). Khi tệp tin này được lưu trữ thành công trên máy chủ, kẻ tấn công chỉ cần truy cập đường dẫn của tệp qua trình duyệt để thực thi các lệnh hệ thống tùy ý.

Vì sao đây là rủi ro kinh doanh?

Đối với một doanh nghiệp vận hành thương mại điện tử, việc máy chủ bị cài đặt 'web shell' (mã độc điều khiển từ xa) mang lại những hậu quả khôn lường. Tin tặc có thể cài đặt các đoạn mã theo dõi thanh toán (payment skimmers) để âm thầm đánh cắp thông tin thẻ tín dụng của khách hàng ngay tại trang thanh toán. Bên cạnh đó, toàn bộ cơ sở dữ liệu khách hàng sỉ, thông tin giao dịch và dữ liệu nội bộ đều có thể bị rò rỉ ra ngoài. Điều này không chỉ gây thiệt hại trực tiếp về mặt tài chính, mà còn hủy hoại uy tín thương hiệu tích lũy nhiều năm, khiến website bị Google đưa vào danh sách đen (blacklist) và tụt hạng SEO nghiêm trọng.

Doanh nghiệp nên làm gì trong 24–72 giờ tới?

• Xác định xem website WordPress/WooCommerce của bạn có đang cài đặt plugin 'WooCommerce Wholesale Lead Capture' hay không.
• Cập nhật ngay lập tức lên phiên bản 2.0.3.2. Hãy đảm bảo rằng bản quyền plugin của bạn vẫn còn hạn để có thể tải xuống bản vá chính thức từ nhà phát triển Rymera Web Co.
• Quét toàn bộ thư mục tải lên (uploads directory) của website để tìm kiếm các tệp tin .php lạ hoặc mới xuất hiện gần đây.
• Kiểm tra nhật ký truy cập máy chủ (server access logs) để phát hiện các yêu cầu đáng ngờ gửi tới tệp 'admin-ajax.php' có chứa tham số hành động 'wwlcfileupload_handler'.

Các rủi ro doanh nghiệp khác đáng chú ý trong tuần

Bên cạnh mối đe dọa từ WooCommerce, tuần này cũng ghi nhận hai cảnh báo bảo mật khẩn cấp khác từ Cơ quan An ninh Cơ sở hạ tầng và An ninh mạng Mỹ (CISA). Đầu tiên là lỗ hổng GitLab CE/EE (CVE-2026-85706, điểm CVSS tuyệt đối 10.0) cho phép kẻ tấn công đọc tệp tin tùy ý trên các máy chủ tự vận hành mà không cần xác thực. Thứ hai là lỗ hổng Cisco Secure Email Gateway (CVE-2026-76461) đang bị khai thác tích cực trong thực tế để thực thi lệnh với quyền root cao nhất. Doanh nghiệp đang sử dụng các hệ thống này cần lập tức triển khai các bản vá từ nhà cung cấp.

Bài học dài hạn cho bảo mật CMS và hạ tầng số

Sự cố tuần này phơi bày một điểm yếu phổ biến trong quản trị CNTT của doanh nghiệp: 'bẫy bản quyền hết hạn'. Nhiều doanh nghiệp mua các plugin hoặc giao diện trả phí nhưng quên gia hạn, khiến hệ thống không thể tự động cập nhật khi có lỗ hổng mới xuất hiện. Để bảo vệ hạ tầng số dài hạn, doanh nghiệp cần xây dựng quy trình quản lý bản vá (patch management) nghiêm ngặt, trang bị tường lửa ứng dụng web (WAF) để ngăn chặn các hành vi dò quét tự động, và thiết lập quy trình sao lưu (backup) độc lập hàng ngày để sẵn sàng khôi phục hệ thống khi xảy ra sự cố ngoài ý muốn.

Hanoi Byte có thể hỗ trợ như thế nào?

Nếu doanh nghiệp của bạn đang vận hành website WordPress, WooCommerce, hệ thống CMS tùy chỉnh hoặc hạ tầng cloud nhưng chưa có quy trình kiểm tra bảo mật và vá lỗi định kỳ, Hanoi Byte có thể đồng hành trong việc đánh giá hiện trạng, đề xuất lộ trình cải thiện và triển khai giải pháp phù hợp. Chúng tôi không chỉ giúp bạn xử lý các lỗ hổng khẩn cấp mà còn xây dựng một hệ thống vận hành số an toàn, ổn định và có khả năng chống chịu cao trước các cuộc tấn công mạng. Liên hệ Hanoi Byte ngay hôm nay để bắt đầu một buổi trao đổi về bảo mật và chuyển đổi số cho doanh nghiệp của bạn.