ACF PRO 6.8.9: Blocks V3 Now Default (and a V2 Compatibility Plugin)

Critical Avada WordPress theme flaw enables zero-click RCE

Avada là một trong những theme WordPress phổ biến nhất, được sử dụng trên hơn 700.000 trang web với nhiều phiên bản khác nhau. Lỗi tồn tại trong hàm xử lý ajax của theme, cho phép kẻ tấn công không cần xác thực gửi request đặc biệt để kích hoạt hàm eval hoặc include động, từ đó thực thi mã PHP tùy ý trên server. Với một request duy nhất (zero-click), attacker có thể chiếm quyền kiểm soát hoàn chỉnh máy chủ, cài đặt backdoor, đánh cắp dữ liệu hoặc đưa trang web vào botnet. Nhà quản trị nên luôn cập nhật theme Avada lên phiên bản vá lỗi mới nhất (phiên bản 7.10.2 trở lên), tắt tính năng ajax không cần thiết và sử dụng tường lửa ứng dụng web để chặn các request đáng ngờ. Ngoài ra, kiểm tra mã nguồn theme và hạn chế quyền truy cập vào thư mục wp-content cũng giúp giảm thiểu rủi ro tương tự.