CVE-2025-27007 là lỗ hổng nghiêm trọng trong plugin WordPress OttoKit (tên cũ là SureTriggers) — một plugin tự động hoá quy trình được cài trên hơn 100.000 website. Lỗ hổng cho phép kẻ tấn công không cần đăng nhập tạo ra tài khoản quản trị viên (admin) và chiếm quyền kiểm soát website. Đáng chú ý, lỗ hổng đã bị khai thác thực tế chỉ khoảng 91 phút sau khi công bố.
Thông tin nhanh
| Mã CVE | CVE-2025-27007 |
| Plugin | OttoKit / SureTriggers (plugin tự động hoá WordPress) |
| Loại lỗ hổng | Gán quyền sai (CWE-266) dẫn tới tạo tài khoản admin trái phép |
| Mức độ (CVSS) | 9.8 — Nghiêm trọng |
| Yêu cầu xác thực | Không (unauthenticated) |
| Phiên bản bị ảnh hưởng | Mọi phiên bản đến và bao gồm 1.0.82 |
| Phiên bản vá | 1.0.83 (phát hành 21/04/2025) |
| Tình trạng | Đã bị khai thác thực tế (~91 phút sau khi công bố ngày 02/05/2025) |
Lỗ hổng này là gì?
Khi một website chưa từng cấu hình application password, một hàm xử lý kết nối của plugin không kiểm tra xác thực đúng cách. Lợi dụng điều này, kẻ tấn công có thể gửi request tới API của plugin để bỏ qua bước xác thực, sau đó kích hoạt hành động tạo người dùng và tự tạo một tài khoản quản trị viên trên website — tất cả mà không cần bất kỳ thông tin đăng nhập nào.
Vì lý do an toàn, bài viết này chỉ mô tả cơ chế ở mức tổng quan nhằm giúp chủ website hiểu rủi ro và phòng thủ, không cung cấp mã khai thác.
Vì sao nguy hiểm?
- Chiếm được quyền admin đồng nghĩa với kiểm soát toàn bộ website: cài mã độc, chèn backdoor, sửa nội dung, đánh cắp dữ liệu khách hàng.
- Không cần tài khoản, mức độ khai thác dễ (CVSS 9.8) nên bị tin tặc quét và tấn công hàng loạt rất nhanh.
- Thực tế đã bị khai thác chỉ hơn một giờ sau khi công bố — cho thấy tốc độ nguy hiểm của loại lỗ hổng này.
Cách kiểm tra website của bạn
- Kiểm tra bạn có đang dùng plugin OttoKit/SureTriggers không, và phiên bản là bao nhiêu (Dashboard → Plugins).
- Rà soát danh sách người dùng (Users → All Users), đặc biệt tìm các tài khoản quản trị viên lạ mới xuất hiện (ví dụ tên bất thường như
otto-connect,wp-bot-user,admin_support…). - Kiểm tra log truy cập để phát hiện các request bất thường tới REST API của plugin.
Cách khắc phục
- Cập nhật OttoKit lên phiên bản 1.0.83 trở lên ngay lập tức.
- Xoá mọi tài khoản admin lạ mà bạn không tạo, đổi mật khẩu toàn bộ tài khoản quản trị.
- Đổi các khoá bảo mật (salt) trong
wp-config.phpđể vô hiệu hoá phiên đăng nhập của kẻ tấn công. - Rà soát mã nguồn tìm backdoor nếu nghi ngờ đã bị xâm nhập; cân nhắc khôi phục từ bản sao lưu sạch.
Khuyến nghị: Với các lỗ hổng tạo-admin kiểu này, tốc độ là yếu tố sống còn. Hãy bật cập nhật tự động cho plugin quan trọng và theo dõi danh sách người dùng định kỳ.
Nghi ngờ website đã bị tạo admin lạ hoặc cài mã độc? Liên hệ dịch vụ xử lý mã độc WordPress của chúng tôi để được kiểm tra và làm sạch.
