Lỗ hổng RCE W3 Total Cache xuất hiện PoC, đặt hơn 1 triệu website vào tầm nguy hiểm

[WhiteHat Team]

Các nhà nghiên cứu bảo mật vừa công bố một proof-of-concept (PoC) khai thác lỗ hổng thực thi mã từ xa nghiêm trọng trong W3 Total Cache, plugin cache nổi tiếng của WordPress với hơn một triệu lượt cài đặt. Lỗ hổng, được định danh CVE-2025-9501, cho phép kẻ tấn công thực thi mã tùy ý từ xa mà không cần xác thực, buộc các quản trị viên phải triển khai bản vá ngay lập tức.

Theo phân tích của nhà nghiên cứu bảo mật wcraft và chuyên gia Julien Ahrens (RCE Security), lỗ hổng bắt nguồn từ lỗi command injection không xác thực trong cơ chế cache trang của W3 Total Cache. Mã độc có thể được kích hoạt qua hàm _parse_dynamic_mfunc của lớp PgCache_ContentGrabber, nơi plugin sử dụng eval() để thực thi nội dung nhúng trong các comment đặc biệt trên trang đã cache. Khi kẻ tấn công chèn mã độc vào comment WordPress theo định dạng mfunc và trang đó được lưu vào cache, W3 Total Cache sẽ tự động xử lý và thực thi đoạn mã mỗi khi người dùng truy cập. Cơ chế này tạo ra một vector thực thi mã liên tục, ảnh hưởng đến toàn bộ khách truy cập.

Lỗ hổng được đánh giá mức nghiêm trọng với điểm CVSS trên 9.0 và ảnh hưởng đến các phiên bản plugin chưa vá. Vector tấn công hoàn toàn qua mạng, không yêu cầu xác thực, khiến các website đang bật Page Cache dễ bị nhắm tới. Tuy vậy, để khai thác thành công, kẻ tấn công phải đáp ứng đồng thời ba điều kiện quan trọng:

• Biết giá trị hằng số W3TC_DYNAMIC_SECURITY trong cấu hình WordPress. Đây là chuỗi bảo mật bắt buộc để tạo comment có khả năng thực thi.
• WordPress phải bật tính năng comment cho người dùng chưa đăng nhập, tạo điều kiện để kẻ tấn công chèn comment chứa mã độc.
• Tính năng Page Cache của W3 Total Cache phải được kích hoạt, vì chỉ khi trang được cache thì đoạn mã trong comment mới được plugin xử lý và thực thi.

Khi cả ba yếu tố này xuất hiện đồng thời, website có thể bị chiếm quyền điều khiển hoàn toàn, dữ liệu nhạy cảm bị đánh cắp hoặc bị cài backdoor, phục vụ các cuộc tấn công tiếp theo.

Các quản trị viên sử dụng W3 Total Cache cần nhanh chóng cập nhật plugin lên phiên bản mới nhất. Nếu chưa thể cập nhật ngay, có thể tạm thời vô hiệu hóa Page Cache hoặc giới hạn tính năng comment chỉ cho người dùng đã xác thực. Đồng thời, nên kiểm tra giá trị W3TC_DYNAMIC_SECURITY để đảm bảo chuỗi đủ mạnh, khó đoán và không dùng giá trị mặc định.

Theo Cyber Press​