Một lỗ hổng nghiêm trọng được phát hiện trên Wordpress (Wordpress: một mã nguồn mở cho phép xây dựng website miễn phí phổ biến nhất hiện nay) có thể giúp hacker chiếm quyền điều khiển website và thậm chí là quyền điều khiển máy chủ để triển khai các hoạt động trái phép gây thiệt hại lớn cho các doanh nghiệp.

VSEC (Công ty cổ phần An ninh mạng Việt Nam) vừa phát đi cảnh báo về lỗ hổng bảo mật nghiêm trọng Cross-site request forgery (CSRF) trên plugin Code Snippets của nền tảng Wordpress, giúp tin tặc chiếm quyền quản trị website để thực hiện các mã lệnh từ xa.

Lỗ hổng CSRF được phát hiện vào đầu tháng 2/2020, được gắn mã CVE là CVE-2020-8417, một loại mã để định danh các lỗ hổng bảo mật được phát hiện trong các sản phẩm công nghệ phổ biến trên thế giới, được cung cấp bởi MITRE - một đơn vị được bảo trợ bởi Cơ quan An ninh nội địa Mỹ.

Để khai thác lỗ hổng này, hacker sẽ tạo đường link chứa mã khai thác và lừa người quản trị truy cập đường link đó. Khi người quản trị truy cập vào đường link này lúc đang đăng nhập vào Wordpress, một tài khoản quản trị xấu sẽ được thêm vào hệ thống quản trị website mà người dùng không được thông báo. Từ đây, tin tặc thực hiện xóa quyền quản trị của nạn nhân, thêm vào đó tiến hành thay đổi toàn bộ thông tin website.

Tiếp theo, sau khi đã thu được tài khoản này, tin tặc sẽ thực thi mã lệnh từ xa (RCE) qua chức năng chỉnh sửa mã nguồn của Wordpress nhằm chiếm quyền điều khiển máy chủ, qua đó hacker có thể thực hiện những cuộc tấn công gián điệp đối với các thiết bị và máy chủ thuộc cùng mạng nội bộ với máy chủ bị tấn công.

Theo các chuyên gia VSEC: “Code Snippets trước phiên bản 2.14.0 đều bị ảnh hưởng”. Các chuyên gia VSEC cũng chia sẻ thêm, hiện nay lợi dụng sự tò mò của người dùng về các thông tin nóng như dịch bệnh, người nổi tiếng, chính trị... đã có hiện tượng tin tặc phát đi những đường link chứa mã độc ngụy trang dưới dạng tin tức giật gân, mục đích phát tán những mã độc đấy nhằm khai thác lỗ hổng CSRF để chiếm quyền điều khiển website.

Để tránh trở thành nạn nhân bị hacker lợi dụng lỗ hổng mới trên Wordpress tấn công chiếm quyền điều khiển website, các chuyên gia VSEC khuyến nghị quản trị viên của các website cần cân nhắc trước khi truy cập những đường link lạ, trang bị đủ kiến thức an toàn thông tin. Đặc biệt, cần cập nhật ngay phiên bản plugin Code Snippets mới nhất để khắc phục lỗ hổng này.

WordPress là một mã nguồn mở bằng ngôn ngữ PHP để hỗ trợ xây dựng và phát triển website, đây là nền tảng phổ biến vì dễ sử dụng, nhiều tính năng hữu ích mà nổi bật là Code Snippets - tính năng mở rộng rất tiện ích trên Wordpress giúp chèn trực tiếp các đoạn mã vào các tập tin giao diện. Hiện nay, trên thế giới, ước tính có hơn 60% website sử dụng CMS là Wordpress, trong đó có khoảng 200.000 website cài đặt Code Snippets. Riêng tại Việt Nam, theo các chuyên gia VSEC, khoảng 40% website sử dụng nền tảng Wordpress.

Liên quan đến nguy cơ bị tấn công mạng của các website sử dụng nền tảng Wordpress, trong báo cáo an ninh website năm 2019 mới được Công ty an toàn thông tin CyStack công bố hôm nay, ngày 11/2/2020, đơn vị này đã cho biết, kết thúc năm dương lịch 2019, hệ thống CyStack Attack Map ghi nhận hơn 9.300 vụ xâm phạm vào các website của các tổ chức,  doanh nghiệp tại Việt Nam. Gần 3/4 số trang web bị hack tại Việt Nam sử dụng nền tảng quản trị nội dung WordPress,  theo sau là Drupal và Joomla với lần lượt 12,99% và 6,7% số website bị tấn công.