Bảo mật WordPress là quan trọng!
🇺🇸 A massive supply chain attack just hit over 1.2 million WordPress websites, and the lessons are loud and clear: even deactivated plugins can leave you wide open. If you run a site (or host them for clients), this is your wake-up call to tighten up security before the next breach.
🔥 The attack targeted three popular marketing plugins — OptinMonster, TrustPulse, and PushEngage. Hackers didn’t hit the plugins directly. They compromised external scripts these plugins loaded. When an admin logged in, the malicious code got full administrator access.
🛡️ Attackers weren’t just messing around — they installed hidden backdoors for long-term control:
- Tài khoản quản trị viên lén lút (như dev_api1 hoặc wpsecurebot)
- Phần mềm độc hại ẩn khỏi bảng điều khiển
- Spam SEO, cập nhật trình duyệt giả mạo và thậm chí cả công cụ khai thác tiền điện tử
Bài học rút ra: Xóa hoặc vô hiệu hóa plugin là không đủ. Nếu nó đã từng được cài đặt, hãy quét kỹ.
Cách kiểm tra và làm sạch trang web WordPress của bạn
- Xem lại tài khoản quản trị viên — Đừng chỉ tin vào trang Người dùng. Kiểm tra bảng cơ sở dữ liệu wp_users (hoặc sử dụng WP-CLI) để tìm quản trị viên không xác định.
- Kiểm tra các thư mục plugin — Tìm trong wp-content/plugins/ và wp-content/mu-plugins/ để tìm bất cứ điều gì đáng ngờ.
- Thay đổi mọi thứ - Đặt lại tất cả mật khẩu quản trị viên, tạo lại muối, cập nhật mật khẩu cơ sở dữ liệu và xoay khóa API.
Thực tiễn bảo mật thông minh trong tương lai
- Xóa hoàn toàn các plugin và chủ đề không sử dụng — Đã tắt ≠ an toàn.
- Sử dụng plugin nhật ký hoạt động vững chắc (như Nhật ký hoạt động WP) để theo dõi các thay đổi.
- Thêm xác thực hai yếu tố và bảo vệ brute-force.
- Luôn cập nhật mọi thứ và chạy quét phần mềm độc hại thường xuyên.
🇺🇸 America-first take: In a digital world full of threats, real security comes from ownership and vigilance — not trusting third-party scripts or “set it and forget it” plugins. Self-hosted WordPress on reliable hosting (with server-level protections) gives you the control you need to protect your business and data.
Các nhà cung cấp dịch vụ lưu trữ như HostRite bổ sung thêm các lớp (cách ly Máy chủ trong tù, sao lưu hàng ngày, chặn cấp máy chủ) nhưng chủ sở hữu trang web vẫn phải thực hiện phần việc của mình.
Các bạn nghĩ sao? Bạn gặp phải sự cố tương tự hoặc nhận được mẹo bảo mật mạnh mẽ cho người dùng WordPress? Chia sẻ bên dưới!
