Bài viết này do AI tạo ra, dựa trên thông báo WordPress ngày 6/8/2026. Đây là bản tin an ninh; quản trị viên nên kiểm tra môi trường riêng trước khi cập nhật.
WordPress 7.0.3 đã phát hành với nhiều bản vá bảo mật. WordPress khuyến nghị cập nhật ngay. Điểm cần ưu tiên là lỗ hổng XSS reflected trước xác thực trên màn hình đăng nhập, có thể dẫn tới thực thi mã PHP, cùng SSRF, leo thang đặc quyền trên multisite và nhiều lỗi XSS với mức quyền Contributor/Author.
Lỗi nghiêm trọng nhất theo mô tả công bố là pre-auth reflected XSS ở trang login, có tiềm năng dẫn tới PHP code execution. Vì xảy ra trước đăng nhập, bề mặt tấn công rộng hơn các lỗi cần tài khoản.
Bản 7.0.3 còn vá nhiều stored XSS: qua emoji settings trong bài viết, Post Content block, Quick Edit ở site nhiều người dùng và Post Date block. Đây là các lỗi cần Contributor+ nên rủi ro thực phụ thuộc mô hình phân quyền, plugin nhận nội dung và mức độ tin cậy của tài khoản biên tập.
WordPress nêu lỗi leo thang đặc quyền trên mạng multisite bật đăng ký người dùng, cho phép một user tạo site mới. Ngoài ra có SSRF trong URL validation cho phép request tới dải link-local; đây là loại lỗi cần chú ý đặc biệt ở hạ tầng cloud vì dịch vụ metadata thường nằm trong vùng link-local. Các bản vá khác gồm rò rỉ bình luận của bài bảo vệ bằng mật khẩu trong Latest Comments block, enumeration slug bài viết, rò rỉ notes trong comment feed, CSS injection và bypass luồng xác nhận email.
WordPress nói các bản vá sẽ được backport khi cần cho các nhánh còn đủ điều kiện nhận security fixes, tới 4.7, nhưng đồng thời nhắc rằng chỉ bản mới nhất được hỗ trợ tích cực. Không nên lấy thông tin backport làm lý do trì hoãn: kiểm tra release chính thức cho đúng nhánh đang chạy và nâng cấp phiên bản hiện hành khi có thể. WordPress 7.1 RC2 cũng đã gồm các bản vá liên quan.
Đợt này không phải kiểu “vá một CVE cho đủ checklist”. Nó chạm cả login trước xác thực, nội dung do contributor tạo, multisite, URL validation và dữ liệu riêng. Với site đơn lẻ ít tài khoản, ưu tiên là cập nhật core và xác nhận login hoạt động. Với agency, hosting hay hệ WordPress multisite, cần coi đây là đợt rà soát quyền, registration và outbound request. Bản vá giảm rủi ro, nhưng không thay thế nguyên tắc ít đặc quyền, WAF, backup khôi phục được và theo dõi log.
