Cập nhật plugin WordPress tự động: bật cho plugin nào?

Nên bật cập nhật plugin WordPress tự động cho plugin ít rủi ro và bản vá bảo mật; plugin bán hàng, page builder, cache và biểu mẫu nên cập nhật tay sau khi thử trên bản sao. Plugin chia làm ba nhóm. Chờ lịch cuối tháng cũng có giá: ngày 22/09/2026, yêu cầu tấn công đầu tiên chạm tường lửa của chúng tôi lúc 11:49 UTC, cùng ngày WordPress phát hành bản vá 7.1.2. Bật xong còn phải kiểm cơ chế có thật sự chạy.

Chờ cập nhật tay cũng có giá: bản vá ra thì kẻ tấn công cũng đọc được

Ví dụ gần nhất là lỗ hổng lõi CVE-2026-87902, điểm CVSS 4.0 là 9.2. WordPress phát hành bản vá 7.1.2 ngày 22/09/2026. Theo Patchstack, qua bài của chúng tôi, yêu cầu tấn công đầu tiên chạm tường lửa lúc 11:49 UTC cùng ngày.

Đây là lỗ hổng của lõi, không phải của plugin. Nhưng bài toán thời gian giống nhau: bản vá ra, người đọc được bản vá cũng đọc được lỗi. Site đang chờ lịch cập nhật cuối tháng nằm ngoài cuộc đua đó.

Bảng dưới so khoảng chờ tối đa theo lịch, chưa tính trường hợp cơ chế cập nhật hỏng (xem phần kiểm ở dưới).

Lịch mặc định hai lần mỗi ngày theo tài liệu WordPress.org, đọc 22/10/2026. Lịch cuối tháng là giả định để so sánh.

Cập nhật tay không có lỗi gì nếu bạn làm đều và làm nhanh khi có bản vá khẩn. Lịch bảo trì website của chúng tôi xếp việc này vào mỗi tuần. Vấn đề là việc tay hay bị trễ, còn lịch tự động thì không.

Cập nhật tự động chỉ làm đúng việc nó được bật cho

Lõi WordPress và plugin có hai mặc định khác nhau. Lõi tự cập nhật. Plugin thì bạn phải bật từng cái.

Starting with WordPress 5.6, new installations have automatic updates enabled for both minor and major core releases

— Upgrading WordPress, WordPress Advanced Administration Handbook (nguyên văn tiếng Anh), 22/10/2026

Với plugin và theme, tài liệu WordPress.org ghi rằng từ WordPress 5.5, quản trị viên có thể tự chọn bật cập nhật tự động theo từng theme và từng plugin. Mặc định WordPress chạy cập nhật hai lần mỗi ngày và dựa vào WordPress Cron để thực hiện.

By default WordPress runs auto-updates twice per day.

— Plugin and themes auto-updates, WordPress.org Documentation (nguyên văn tiếng Anh), 22/10/2026

Mặc định, WordPress cũng gửi email cho chủ site khi plugin hoặc theme cập nhật thành công hay thất bại. Hãy để địa chỉ nhận thư đó là địa chỉ có người đọc.

Cập nhật tự động không sao lưu cho bạn, không thử trước, không tự quay lui. Nó chỉ thay tệp mới vào. Ba việc kia vẫn là việc của bạn.

Ba nhóm plugin, ba cách xử lý

Để khỏi “tuỳ trường hợp”, chúng tôi hỏi ba câu cho từng plugin. Plugin hỏng thì có làm mất đơn, mất khách hoặc vỡ giao diện ngay không? Nó có đụng tới dữ liệu đơn hàng, thanh toán hoặc biểu mẫu không? Bạn có sao lưu khôi phục được trong 24 giờ không?

Trả lời “có” cho câu một hoặc câu hai thì plugin thuộc nhóm cao. Không có sao lưu dùng được thì mọi nhóm đều nên cập nhật tay cho đến khi có.

Khuyến nghị của Net Solutions theo mức rủi ro, không phải số đo. Plugin bản quyền ngoài kho: xử lý như nhóm 3 cho đến khi kiểm xong.

Một ngoại lệ chạy theo chiều ngược lại: bản vá bảo mật khẩn của plugin nhóm 3 không chờ lịch tháng. Sao lưu, cập nhật ngay trong ngày, rồi kiểm theo danh sách. Thử trên bản sao là tốt nếu kịp trong vài giờ; không kịp thì sao lưu và kiểm kỹ.

Việc sao lưu và dọn plugin thừa nằm trong checklist bảo mật WordPress 12 việc. Bài này đi tiếp phần checklist chỉ nói là “phải bật”: bật cho cái nào.

Cách bật và cách tắt cho từng plugin

Trong wp-admin, vào Plugins. Mỗi plugin có một cột cập nhật tự động (tài liệu gọi là “Automatic update”) với liên kết bật hoặc tắt. Muốn bật nhiều plugin một lần, tích chọn ở cột đầu, chọn thao tác hàng loạt ở đầu bảng rồi bấm Apply. Dưới liên kết, WordPress hiện thời gian còn lại đến lần cập nhật kế tiếp.

Nếu cột này không có nút bật, theo tài liệu thường do công ty hosting hoặc một plugin đã tắt tính năng, hoặc site chạy dưới WordPress 5.5. Có SSH thì dùng WP-CLI:

wp plugin auto-updates enable hello
wp plugin auto-updates status hello
wp plugin auto-updates disable hello

Trước khi bật, xem plugin nào đang chờ bản mới:

wp plugin list --update=available --fields=name,version,update_version

Tài liệu cho lập trình viên còn có cách bật cho toàn bộ plugin bằng một bộ lọc. Chúng tôi không dùng cách này cho site có plugin nhóm 3, vì nó bỏ qua bảng phân nhóm ở trên:

add_filter( 'auto_update_plugin', '__return_true' );

Bật rồi, kiểm tiếp: cơ chế cập nhật có thể hỏng mà không báo

Công tắc bật chưa chứng minh gì. Cơ chế phía sau phải gọi được máy chủ cập nhật của WordPress.

Chúng tôi kể đầy đủ trong bài về đợt lỗ hổng WP2Shell, mục “Net Solutions đã làm gì”. Bốn cách kiểm, theo thứ tự rẻ đến đắt:

1. Site Health. Vào Tools, chọn Site Health, đọc mục Critical issues.
2. Kết nối tới WordPress.org. Trong tab Info của Site Health có dòng “Communication with WordPress.org”.
3. Lịch cập nhật. Ở trang Plugins, dưới liên kết bật có dòng thời gian đến lần cập nhật kế tiếp.
4. Thư báo. Sau lần chạy đầu, WordPress gửi email báo thành công hoặc thất bại. Không nhận được gì sau vài ngày thì kiểm lại.

Background updates ensure that WordPress can auto-update if a security update is released for the version you are currently using.

— Site Health screen, WordPress.org Documentation (nguyên văn tiếng Anh), 22/10/2026

Đó là câu cảnh báo “Background updates are not working as expected” khi cơ chế hỏng. Tài liệu còn một cảnh báo riêng khi site không liên lạc được với api.wordpress.org. Thấy một trong hai thì cập nhật tự động của bạn đang không chạy.

Nếu bạn dùng hosting WebCloud, nhớ rằng gói có cập nhật phần mềm hệ thống ba tháng một lần. Việc đó không thay cập nhật lõi, plugin hay theme bên trong site. Hai việc tách nhau.

Thử trên bản sao trước khi cập nhật plugin nhóm 3

Bản sao (staging) là một bản chép của site, chạy ở địa chỉ riêng, để bạn làm hỏng thoải mái. Làm bốn bước:

1. Sao lưu site thật, rồi khôi phục bản đó sang địa chỉ khác để có bản sao. Bước này đồng thời thử luôn bản sao lưu.
2. Trên bản sao, cập nhật một plugin. Ghi tên và số phiên bản trước, sau.
3. Chạy danh sách kiểm ở phần dưới trên bản sao.
4. Đạt thì mới cập nhật site thật, sau một lần sao lưu mới. Không đạt thì giữ nguyên bản đang chạy và báo lỗi cho tác giả plugin.

Bản sao không phải bản y hệt. Nó không thử được thanh toán thật, và dữ liệu có thể cũ hơn site thật vài ngày. Nó bắt được lỗi vỡ giao diện, lỗi PHP và xung đột giữa các plugin, tức phần lớn lỗi hay gặp.

Site nhỏ có cần không? Không phải lúc nào cũng cần. Site giới thiệu vài trang, chỉ có plugin nhóm 1 và 2, có sao lưu đã thử khôi phục, thì sao lưu trước rồi kiểm sau là đủ. Bản sao đáng công khi site nhận đơn, đặt lịch, thu biểu mẫu hoặc dựng bằng page builder: nơi một lỗi làm mất khách ngay trong lúc không ai nhìn.

Cập nhật xong kiểm gì: sáu chỗ, không chỉ trang chủ

Checklist bảo mật của chúng tôi chỉ nhắc hai trang: trang chủ và trang liên hệ. Với site có plugin nhóm 3, danh sách nên dài hơn.

Danh sách của Net Solutions; không phải tiêu chuẩn của WordPress.

Khung này lấy từ cách chúng tôi ghi lên site: có bản sao lưu trước, và sau khi ghi thì đọc lại chính trang thật, không tin vào thông báo “đã lưu”. Cập nhật plugin cũng là một lần ghi lên site, nên cùng một nguyên tắc.

Khi bản cập nhật làm hỏng site: tắt, lùi, khôi phục

Làm theo thứ tự, dừng ngay khi site chạy lại:

1. Tắt cập nhật tự động của plugin nghi ngờ, để nó không tự cập nhật lại.
2. Tắt plugin đó. Vào được wp-admin thì tắt ở trang Plugins; không vào được thì đổi tên thư mục của plugin trong trình quản lý tệp của hosting.
3. Còn lỗi, hoặc không rõ thủ phạm, khôi phục bản sao lưu ngay trước lần cập nhật.
4. Báo lỗi cho tác giả plugin, kèm phiên bản cũ, phiên bản mới và thông báo lỗi.

wp plugin deactivate hello

Với plugin có trong kho wordpress.org, WP-CLI cho cài lại phiên bản cũ. Theo tài liệu của lệnh wp plugin install, tuỳ chọn --version lấy phiên bản chỉ định từ wordpress.org thay vì bản ổn định, và --force ghi đè bản đang cài mà không hỏi lại. Có thể bản mới đã đổi cấu trúc dữ liệu, nên lùi mã mà không lùi dữ liệu đôi khi gây lỗi. Khi chưa chắc, khôi phục sao lưu an toàn hơn.

Lý do chúng tôi không để cập nhật dồn nhiều tháng là chi phí tìm thủ phạm. Tìm bằng cách chia đôi: lùi một nửa số thay đổi, kiểm, rồi lùi tiếp nửa còn lại của nhóm có lỗi. Với n thay đổi, cần tối đa ⌈log₂ n⌉ lần thử.

Giả định để minh hoạ, không phải số đo: site 12 plugin, mỗi plugin ra khoảng 3 bản mới mỗi quý (36 thay đổi), một quý tính 12 tuần.

Mỗi lần thử là một lượt mở và kiểm các trang quan trọng. Sáu lượt như vậy nặng hơn hai lượt rất nhiều. Nếu site đã có dấu hiệu bị chèn mã chứ không chỉ lỗi cập nhật, đọc cách xử lý WordPress bị chèn mã độc.

Khi nào nên giao người làm

Chúng tôi không biết trước plugin nào của bạn sẽ lỗi sau bản cập nhật, và không ai hứa được “không bao giờ hỏng”. Chúng tôi giảm xác suất và rút ngắn thời gian sửa, không xoá được rủi ro.

Bài này không dành cho ai? Nếu site của bạn là vài trang giới thiệu, ít plugin, bạn có sao lưu thử được và có người mở wp-admin hằng tuần, tự làm theo các bước trên là hợp lý. Bạn không cần thuê ai.

Nên giao người khi site nhận đơn hoặc đặt lịch, có plugin nhóm 3, không ai trực khi lỗi xảy ra, hoặc bạn có nhiều site. Khi đó phần phân nhóm, sao lưu, bản sao, kiểm sau và quay lui là việc lặp hằng tuần, thuộc dịch vụ chăm sóc website của chúng tôi.

Câu hỏi thường gặp

Bật tự động cập nhật plugin WordPress có an toàn không? Có, với điều kiện chọn đúng plugin và có sao lưu. Nhiều bản cập nhật là bản vá bảo mật, nên chờ lâu cũng có rủi ro. Rủi ro lớn nằm ở plugin đụng giao diện, đơn hàng hoặc biểu mẫu: bản mới có thể xung đột với plugin khác hoặc theme. Vì vậy chúng tôi bật tự động cho nhóm ít rủi ro, còn nhóm cao cập nhật tay sau khi thử trên bản sao.

Cập nhật plugin làm hỏng web thì quay lui thế nào? Tắt cập nhật tự động của plugin đó, rồi đưa site về trạng thái chạy được. Nhanh nhất là khôi phục bản sao lưu ngay trước lần cập nhật. Biết thủ phạm thì tắt plugin, hoặc cài lại bản cũ bằng WP-CLI với --version và --force nếu plugin có trong kho wordpress.org. Sau đó báo lỗi cho tác giả và chờ bản sửa.

Plugin trả phí có tự cập nhật được không? Tuỳ hãng. Plugin trả phí thường nhận bản cập nhật từ máy chủ của hãng, gắn với khoá bản quyền. Hết hạn bản quyền, nhiều plugin ngừng nhận bản mới, và nút bật tự động có thể không xuất hiện. Hãy nhìn cột cập nhật tự động trên site của bạn và đọc điều khoản của hãng. Chưa kiểm được thì xử lý như nhóm 3, tức cập nhật tay.

Bao lâu nên cập nhật plugin một lần? Bản vá bảo mật thì trong ngày. Các bản còn lại nên làm đều, mỗi tuần một lần với nhóm cao, thay vì dồn. Lịch bảo trì của chúng tôi tính 15–30 phút mỗi tuần cho site nhỏ. Dồn nhiều tháng khiến khi lỗi phải thử nhiều lần để tìm thủ phạm: với 36 thay đổi là tối đa 6 lần, so với 2 lần khi cập nhật đều.

Site nhỏ có cần môi trường thử (staging) không? Không bắt buộc nếu site chỉ giới thiệu, ít plugin và có sao lưu đã thử khôi phục. Cần với site có đơn hàng, đặt lịch hoặc dựng bằng page builder, nơi lỗi làm mất khách ngay. Dù không có bản sao, vẫn phải sao lưu trước và mở các trang quan trọng sau khi cập nhật.

Cập nhật 25/10/2026 bởi Công ty TNHH Net Solutions.