Các tin tặc đang khai thác bộ lỗ hổng bảo mật nghiêm trọng wp2shell (CVE-2026-63030 và CVE-2026-60137), ảnh hưởng đến WordPress Core để triển khai webshell và cài đặt các plugin độc hại trên các máy chủ bị ảnh hưởng.

Một lỗ hổng nghiêm trọng định danh CVE-2026-57807 trong plugin OAuth Single Sign-On của miniOrange có thể gây ảnh hưởng đến hàng triệu website WordPress. Lỗ hổng này cho phép tin tặc bỏ qua quy trình đăng nhập và mạo danh bất kỳ người dùng nào trên hệ thống.

Một nghiên cứu mới đây của công ty an ninh mạng Censys (Mỹ), chuyên cung cấp thông tin tình báo về các mối đe dọa an ninh mạng trên toàn cầu đã tiết lộ rằng, hơn 70% các trang web WordPress có thể truy cập công khai đang sử dụng các phiên bản PHP lỗi thời, điều này làm tăng đáng kể nguy cơ bị tấn công mạng. Phát hiện này làm nổi bật lỗ hổng bảo mật ngày càng lớn trong hệ sinh thái web toàn cầu, nơi hàng triệu trang web vẫn hoạt động dựa trên các công nghệ cũ bất chấp sự sẵn có của các bản cập nhật bảo mật thường xuyên.

Mới đây, một lỗ hổng bảo mật nghiêm trọng vừa được phát hiện trong plugin Avada Builder dành cho WordPress, ảnh hưởng tới hơn 1 triệu website và có thể bị lợi dụng để xóa các tệp quan trọng trên máy chủ.

Tuần 24 (15/6 - 21/6/2026) ghi nhận nhiều diễn biến đáng chú ý trong lĩnh vực bảo mật và an toàn thông tin. Tại Việt Nam, lực lượng công an đưa ra cảnh báo về thủ đoạn đảo thẻ tín dụng qua máy POS, đồng thời đẩy mạnh các biện pháp làm sạch thị trường viễn thông với gần 18 triệu thuê bao bị khóa một chiều từ ngày 15/6. Bên cạnh đó, Việt Nam tiếp tục khẳng định vị thế trong chuyển đổi số khi thuộc nhóm quốc gia dẫn đầu thế giới về IPv6 và đứng thứ hai Đông Nam Á về ứng dụng AI tạo sinh. Trên thế giới, hàng loạt vụ rò rỉ dữ liệu, tấn công chuỗi cung ứng phần mềm, khai thác lỗ hổng zero-day và các mối đe dọa liên quan đến AI tiếp tục diễn biến phức tạp, đặt ra nhiều thách thức đối với công tác bảo đảm an ninh mạng toàn cầu.

Các tin tặc đang khai thác một lỗ hổng leo thang đặc quyền nghiêm trọng (CVE-2026-8206) trong plugin Kirki trên WordPress để chiếm đoạt bất kỳ tài khoản người dùng nào, kể cả tài khoản quản trị viên.

Một chiến dịch lừa đảo trên không gian mạng được thực hiện thông qua kết quả tìm kiếm Google, hiện đang nhắm mục tiêu vào thông tin đăng nhập ManageWP, nền tảng của GoDaddy để quản lý hàng loạt các trang web WordPress.

Một lỗ hổng bảo mật nghiêm trọng trong tiện ích bổ sung Ninja Forms File Uploads premium trên WordPress cho phép tác nhân đe dọa có thể tải lên các tệp tùy ý mà không cần xác thực, điều này có thể dẫn đến thực thi mã từ xa.

Kỹ thuật cuộc tấn công ClickFix đã có những bước phát triển mới khi thêm các video hướng dẫn nạn nhân thực hiện quy trình tự lây nhiễm, bộ đếm thời gian để gây áp lực buộc mục tiêu thực hiện các hành động rủi ro và tự động phát hiện hệ điều hành để cung cấp các lệnh chính xác.

Một lỗ hổng nghiêm trọng trong plugin W3 Total Cache (W3TC) của WordPress có thể bị khai thác để chạy lệnh PHP trên máy chủ bằng cách đăng bình luận có chứa mã độc.