Top 8 Plugin WordPress Gần Đây Bị Hacker Nhắm Đích

Lo lắng về plugin WordPress dễ bị tấn công khiến trang web rủi ro?

Bạn có biết? Plugin dễ bị tấn công là lý do lớn nhất khiến trang web WordPress bị hack. Thực tế, 55,9% tấn công vào WordPress do plugin dễ bị tấn công.

Vậy có nên ngừng dùng plugin hoàn toàn? Trong phát triển web, khó xây dựng và chạy site WordPress không có plugin vì chúng thêm chức năng và tính năng.

May mắn là có cách dùng plugin mà vẫn an toàn. Khi nhà phát triển phát hiện lỗ hổng, họ vá và phát hành bản cập nhật ngay. Khi bạn cập nhật plugin, nó an toàn. Tuy nhiên, hàng triệu user WordPress trì hoãn cập nhật, để site dễ bị hack.

Nếu site bị hack, hacker dùng nó chạy hoạt động độc hại: đánh cắp dữ liệu nhạy cảm, chạy quảng cáo không mong muốn, biến dạng trang web. Hack có hậu quả tàn khốc: treo tài khoản AdWords, mất khách, khách hàng, doanh thu.

Vì plugin dễ bị tấn công là nguyên nhân gốc rễ lớn nhất hack web, việc biết plugin nào dễ bị tấn công và lỗ hổng gì rất quan trọng. Bài viết này chỉ cho bạn những plugin WordPress dễ bị tấn công nhất mà chủ web thường dùng.

Plugin WordPress Làm Thế Nào Trở Nên Dễ Bị Tấn Công?

Quan trọng: plugin WordPress do nhà phát triển thứ ba tạo, không phải team WordPress. Hầu hết plugin có trong kho WordPress, nhưng cũng tìm thấy ở marketplace như CodeCanyon hoặc web của plugin.

Có hơn 50.000 plugin WordPress hiện hữu và mỗi ngày còn tạo thêm. Nhà phát triển quản lý và bảo trì plugin tốt để an toàn, nhất là plugin trả phí.

Các plugin tuân thủ hướng dẫn nhất định đảm bảo an toàn cho user. Tuy nhiên, nhà phát triển tiếp tục cải tiến sản phẩm và đôi khi gấp rút phát hành tính năng mới. Trong một số trường hợp, trong quá trình phát triển, có thể bỏ qua lỗ hổng bảo mật khiến sản phẩm dễ bị tấn công.

Khi hacker tìm thấy lỗ hổng, họ khai thác thực hiện nhiều hack, bao gồm:

• Chuyển hướng khách truy cập đến trang lạ.
• Tiêm quảng cáo spam và nội dung lên site.
• Cài mã độc như wp-feed.php để mở rộng tấn công.
• Tạo tài khoản admin giả (rogue admin).
• Dùng tài nguyên server tấn công DDoS và gửi email spam.

Các cuộc tấn công này làm chậm site nghiêm trọng, hạ xếp hạng SEO. Chúng cũng đe dọa kinh doanh, doanh thu và uy tín.

Vì plugin dễ bị tấn công là nguyên nhân gốc rễ lớn nhất hack web, quan trọng là biết plugin nào dễ bị tấn công nhất và bản vá nào có sẵn.

Lưu ý: Nếu bạn đang dùng plugin nào dưới đây trên WordPress, chúng tôi khuyên mạnh mẽ cập nhật ngay lên phiên bản mới nhất để tránh tấn công hack.

Plugin dễ bị tấn công dẫn đến web bị hack. Luôn cập nhật plugin thường xuyên để tránh tấn công và bảo vệ WordPress. Click to Tweet

8 Plugin WordPress Dễ Bị Tấn Công Nhất Gần Đây

Nhiều plugin phổ biến từng bị tấn công như NextGen Gallery, Yoast SEO, Ninja Forms. Ở đây, tập trung vào danh sách plugin dễ bị tấn công gần đây nhất bị hacker khai thác.

1. Duplicator – Plugin Di Chuyển WordPress

Duplicator chủ yếu là plugin di chuyển (migration) cũng dùng cho backup WordPress. User tạo bản sao lưu site và tải về. Cũng có thể clone hoặc di chuyển site sang domain/host khác. Plugin khá phổ biến với hơn 1 triệu cài đặt hoạt động.

Gần đây, plugin phát sinh lỗ hổng gọi là tải file tùy ý (arbitrary file download). Lỗ hổng cho phép kẻ tấn công xuất nội dung trang web cài plugin. Hacker cũng tải file bảo mật và đánh cắp thông tin đăng nhập database. Điều này cho phép họ xâm nhập, kiểm soát site và mở rộng tấn công.

Nhà phát hiện lỗ hổng và nhanh chóng phát hành bản cập nhật bảo mật quan trọng cho Duplicator phiên bản 1.3.28 và Duplicator Pro phiên bản 3.8.71 vào tháng 2/2020.

Chuyên gia bảo mật web nói hơn 500.000 user dùng phiên bản dễ bị tấn công và chưa cập nhật lên phiên bản mới.

2. ThemeGrill Demo Importer

ThemeGrill cung cấp theme miễn phí và trả phí responsive giúp xây dựng site chuyên nghiệp.

Plugin ThemeGrill Demo Importer cho phép user nhập theme chính hãng từ ThemeGrill vào dashboard WordPress. User cũng nhập nội dung, widget, cài đặt theme. Plugin có hơn 200.000 cài đặt hoạt động.

Tuy nhiên, lỗ hổng trong plugin cho phép hacker kiểm soát tài khoản admin. Hacker có thể khóa bạn khỏi site và thậm chí xóa sạch site.

Nhà phát triển ThemeGrill phát hành bản vá kịp thời ở phiên bản 1.6.3 tháng 2/2020.

3. Profile Builder Plugin

Profile Builder cho phép khách hàng tạo tài khoản trên web. Bạn xây dựng form đăng nhập/đăng ký frontend. Cũng có form hồ sơ để khách cá nhân hóa tài khoản.

Plugin có 3 biến thể: Free, Pro, Hobbyist. Pro và Hobbyist đều trả phí. Pro cho phép dùng trên không giới hạn site WordPress, Hobbyist cấp phép 1 site.

Phiên bản miễn phí có hơn 50.000 cài đặt hoạt động, Pro và Hobbyist cộng lại khoảng 15.000 cài đặt.

Tháng 2/2020, lỗ hổng nghiêm trọng được phát hiện ảnh hưởng tất cả biến thể. Lỗi trong plugin cho phép hacker đăng ký tài khoản admin trái phép trên site WordPress. Điều này cho phép hacker tạo tài khoản admin giả và kiểm soát hoàn toàn site.

Lỗ hổng ảnh hưởng tất cả phiên bản lên đến và bao gồm 3.1.0. Bản vá bảo mật phát hành ở phiên bản 3.1.1.

4. Flexible Checkout Fields For WooCommerce

Add-on này cho WooCommerce cho phép user tùy chỉnh trường thanh toán (checkout fields). Nghĩa là user sửa trường mặc định trang thanh toán và thêm nhãn riêng. Plugin có hơn 20.000 cài đặt hoạt động.

Plugin Flexible Checkout Fields được bảo trì tốt và cập nhật thường xuyên bởi nhà phát triển.

Plugin có lỗ hổng hacker bắt đầu khai thác chủ động. Lỗ hổng cho phép hacker tiêm mã độc vào site WordPress. Điều này cho phép họ thực hiện nhiều hoạt động: tạo tài khoản admin giả, đánh cắp dữ liệu, khóa admin khỏi site.

Nhà phát triển nhanh chóng phát hành bản vá bảo mật ở phiên bản 2.3.2 và 2.3.3 ngày 25/2/2020. Kể từ đó, plugin cập nhật nhiều lần. Chúng tôi khuyên mạnh mẽ cập nhật lên phiên bản mới nhất.

5. ThemeREX Addons

Plugin ThemeREX Addons thiết kế là plugin đi kèm cho nhiều theme do ThemeREX tạo. Addon này có vài tính năng và widget mở rộng chức năng theme. Plugin cài trên khoảng 44.000 site WordPress.

Hacker tìm lỗ hổng và tấn công site cài plugin. Tương tự, hacker khai thác điểm yếu tạo tài khoản admin mới.

ThemeREX phát hành cập nhật kịp thời nhưng cập nhật ThemeREX Addons hơi phức tạp. Vì plugin không có trong kho WordPress, bạn sẽ không thấy thông báo cập nhật trên dashboard WordPress. Bạn cần đăng ký bản tin ThemeREX để nhận thông tin cập nhật plugin/theme.

Thêm vào đó, ThemeREX Addon đi kèm trong nhiều theme. Nhiều chủ site cài theme ThemeReX và không biết plugin này tự động cài theo gói.

Nếu dùng theme ThemeREX, chúng tôi khuyên mạnh mẽ cập nhật lên phiên bản mới nhất. Bạn cập nhật plugin từ tài khoản ThemeREX. Nếu không thể, có thể cần cài plugin ThemeREX updater. Liên hệ ThemeREX để biết thêm thông tin cập nhật plugin này.

6. Async JavaScript

Plugin Async Javascript giúp giảm thời gian tải trang, tăng tốc độ và trải nghiệm user. Site WordPress gồm các ngôn ngữ code: PHP, CSS, Javascript. Plugin Async Javascript cải thiện cách javascript tải trên site. Plugin có 100.000+ cài đặt hoạt động.

Lỗ hổng trong plugin cho phép hacker thực thi tấn công từ xa. Đọc thêm: Tấn công Cross-site scripting (XSS). Điều này mở khả năng hacker đánh cắp thông tin nhạy cảm, thay đổi giao diện site nạn nhân, lừa visitor tải mã độc hoặc tiết lộ dữ liệu cá nhân.

Nhà phát triển sửa tất cả vấn đề và tăng cường biện pháp bảo mật. Phiên bản an toàn nhất tại thời điểm viết bài là phiên bản 2.20.03.01.

Nhiều trường hợp, developer cài plugin này khi tạo web nhưng khách hàng không biết plugin tồn tại. May mắn plugin có trong kho WordPress, thông báo cập nhật hiện trên dashboard.

7. Modern Events Calendar Lite

Plugin lịch sự kiện này giúp quản lý sự kiện trên WordPress dễ dàng! Giao diện responsive, thân thiện mobile cho chủ site hiển thị lịch sự kiện đẹp. Modern Events Calendar Lite miễn phí, hơn 40.000 cài đặt hoạt động.

Tháng 2/2020, plugin gặp lỗ hổng cho phép hacker tiêm mã độc vào site WordPress chạy tấn công tiếp như thay đổi giao diện, đánh cắp dữ liệu nhạy cảm.

Tất cả phiên bản lên đến 5.1.6 đều dễ bị tấn công. Nhà phát triển phát hành bản vá ngay và cập nhật nhiều lần sau đó.

Nếu dùng plugin này, khuyên mạnh mẽ cập nhật lên phiên bản mới nhất sớm nhất.

8. 10Web Map Builder for Google Maps

Plugin 10Web Map Builder for Google Maps cung cấp cách dễ dàng thêm bản đồ vào WordPress. Tính năng mạnh và tùy chỉnh làm nó phổ biến với hơn 20.000 cài đặt hoạt động.

Gần đây, lỗ hổng xuất hiện trong quy trình thiết lập plugin. Cho phép hacker tiêm script độc hại vào site WordPress. Chúng dùng script tấn công admin và visitor.

Nhà phát triển phát hành phiên bản cập nhật 1.0.64 tháng 2. Nếu plugin này cài trên site, cập nhật lên phiên bản mới sẽ vá lỗ hổng tiêm script.

Nếu site bị hack do lỗ hổng plugin, khuyên đọc hướng dẫn cách dọn dẹp site WordPress bị hack.

Đến đây kết thúc danh sách plugin bị tấn công gần đây. Danh sách không đầy đủ. Theo kinh nghiệm làm việc WordPress hơn 10 năm, plugin thường phát sinh lỗ hổng bảo mật theo thời gian. Cách tốt nhất giảm thiểu tấn công do plugin dễ bị tấn công là cập nhật ngay khi có phiên bản mới! Nhớ cập nhật cả WordPress core và theme.

Cách tốt nhất giảm thiểu tấn công do plugin dễ bị tấn công là cập nhật ngay khi có phiên bản mới! Click to Tweet

Nếu thích bài này, bạn sẽ thích đọc thêm về lỗ hổng trên WordPress. Chúng tôi thảo luận thêm về rủi ro bảo mật web như cross-site scripting, SQL injection, leo thang đặc quyền, request giả mạo, upload file tùy ý, xem file, và hơn thế nữa.

Tổng Kết

Lỗ hổng thường nảy sinh trong nhiều plugin WordPress nhưng hầu hết nhà phát triển cũng hành động nhanh và vá kịp thời. Từ đó, trách nhiệm nằm với bạn — chủ site — cập nhật plugin lên phiên bản mới ngay lập tức.

Vậy, cập nhật site thường xuyên sẽ chặn hacker và đảm bảo site an toàn. Nhưng chúng tôi hiểu cập nhật không dễ theo dõi và quản lý. Chúng tôi khuyên mạnh mẽ đọc Hướng Dẫn Cập Nhật WordPress An Toàn.

Tại MalCare, chúng tôi hiểu khó khăn bạn gặp với cập nhật, nhất là chạy nhiều site WordPress. Do đó, để dễ dàng hơn, plugin MalCare cho bạn truy cập dashboard tập trung quản lý tất cả cập nhật cùng lúc. Thêm vào đó, plugin bảo mật WordPress bảo vệ site khỏi cố gắng hack.

Thử Plugin Bảo Mật MalCare Ngay!