WordPress 7.0.2 vá RCE không cần đăng nhập, buộc auto-update

WordPress phát hành bản vá bảo mật 7.0.2 ngày 17/7/2026, xử lý một lỗi mức Critical và một lỗi mức High. Do mức nghiêm trọng, đội WordPress.org đã bật cập nhật tự động cưỡng bức cho các site chạy phiên bản dính lỗi — nên phần lớn site sẽ tự lên bản vá. Cloudflare cũng công bố đã triển khai hai luật WAF lúc 17:03 UTC ngày 17/7 cho toàn bộ khách hàng, kể cả gói free.

Ý chính

• CVE-2026-63030 (Critical) — RCE không cần xác thực: ảnh hưởng WordPress từ 6.9 trở lên, khai thác qua batch endpoint của REST API khi site không dùng persistent object cache. Không cần đăng nhập, không cần thao tác của người dùng.
• CVE-2026-60137 (High) — SQL injection: ảnh hưởng từ 6.8 trở lên, cho phép input được dàn dựng làm thay đổi câu truy vấn CSDL.
• Bản vá theo nhánh: 7.0.2, 6.9.5 và 7.1 Beta 2 vá cả hai lỗi; 6.8.6 chỉ vá SQLi (nhánh 6.8 không dính RCE). Phiên bản trước 6.8 không bị ảnh hưởng.
• Lỗi RCE do Adam Kues (Assetnote / Searchlight Cyber) báo cáo; lỗi SQLi do nhóm TF1T, dtro và haongo báo cáo.
• Bản phát hành do John Blackbourn và Barry Abrahamson dẫn dắt, có đóng góp từ Automattic, Bluehost, Cloudflare, GoDaddy, Hostinger, WP Engine, Altis.
• Việc cần làm: xác nhận site đã ở bản vá (hoặc backport đúng nhánh). WAF chỉ giảm phơi nhiễm trong lúc chờ cập nhật, không thay thế việc vá.

Câu hỏi thường gặp

Site tôi có tự vá không? WordPress.org đã bật auto-update cưỡng bức cho phiên bản dính lỗi, nhưng bạn vẫn nên vào Dashboard > Updates kiểm tra lại phiên bản thực tế.

Tôi đang dùng 6.8.x thì sao? Nhánh 6.8 chỉ dính SQL injection, hãy lên 6.8.6. Nhánh 6.9 và 7.0 dính cả hai lỗi, phải lên 6.9.5 hoặc 7.0.2.

Có Cloudflare rồi thì hoãn vá được không? Không. Luật WAF chặn request khớp mẫu tấn công nhưng không sửa mã nguồn lỗi; cập nhật vẫn là biện pháp hiệu quả nhất.