Checklist bảo mật WordPress cho doanh nghiệp nhỏ: 12 việc

Mười hai việc, chia bốn mốc: hôm nay, tuần này, hằng tháng, mỗi quý. Bốn việc đầu mất khoảng 30 phút và chặn những đường vào phổ biến nhất: tài khoản quản trị lạ, mật khẩu yếu, plugin thừa, cập nhật không chạy. Năm 2026, một lỗ hổng lõi WordPress bị tấn công ngay trong ngày bản vá ra, nên việc vá không nên chờ đến cuối tháng.

Doanh nghiệp nhỏ bị nhắm vì lỗ hổng nhắm vào phiên bản, không nhắm vào quy mô

Một lỗ hổng lõi nhắm vào phiên bản phần mềm. Site 20 trang chạy đúng phiên bản đó cũng nằm trong tầm như site lớn.

Ví dụ gần nhất là CVE-2026-87902. Bài của chúng tôi ghi lại: lỗ hổng chạm mọi bản lõi từ 4.7.0 đến 7.1.1, điểm CVSS 4.0 là 9.2, bản vá 7.1.2. Yêu cầu tấn công đầu tiên chạm tường lửa của chúng tôi lúc 11:49 UTC ngày 22/09/2026, cùng ngày bản vá ra mắt.

Nguồn: bài CVE-2026-87902 của Net Solutions, đọc 11/10/2026.

Chờ đến cuối tháng nghĩa là để ngỏ cửa nhiều ngày sau khi lỗ hổng đã bị khai thác. Đó là lý do việc vá nằm ở nhóm đầu của checklist.

Bài này nói về phòng ngừa. Nếu site đã có dấu hiệu bị chèn mã, đọc cách xử lý WordPress bị chèn mã độc trước.

Tóm tắt 12 việc: làm gì, mất bao lâu, ai làm được, kiểm sao

Bảng dưới xếp theo thứ tự nên làm. Thời gian là ước tính của chúng tôi cho site nhỏ, làm lần đầu, không phải số đo từng site.

Thời gian là ước tính của Net Solutions cho site nhỏ; mốc “nửa buổi” theo lịch bảo trì của chúng tôi, đọc 10/10/2026.

Nhóm 1, hôm nay: bốn việc trong 30 phút

Bốn việc này chặn các đường vào dễ nhất. Làm trước, kể cả khi chưa có thời gian cho phần còn lại.

Việc 1: đếm tài khoản quản trị. Vào Users, lọc vai trò Administrator. Mỗi tên phải là người bạn nhận ra. Tên lạ thì hạ quyền hoặc xoá, rồi đổi mật khẩu các tài khoản còn lại.

Lý do nằm ở đợt lỗ hổng WP2Shell. Hai lỗ hổng lõi ghép lại cho người lạ tạo tài khoản quản trị mà không cần đăng nhập. Khi xử lý, chúng tôi rà và dọn các tài khoản quản trị lạ phát sinh trong lúc bị tấn công.

wp user list --role=administrator --fields=ID,user_login,user_email,user_registered

Việc 2: mật khẩu dài và 2FA. Mỗi quản trị viên một mật khẩu riêng, không dùng lại ở nơi khác. Cách đổi an toàn nằm trong hướng dẫn đổi mật khẩu quản trị website. Tài liệu Hardening của WordPress cũng khuyên bật xác thực hai lớp cho quản trị.

it’s a good idea to enable two-step authentication as an additional security measure

— Hardening WordPress, WordPress Advanced Administration Handbook (dịch), 15/10/2026

Việc 3: xoá plugin và theme không dùng. Tắt chưa đủ. Mã của plugin tắt vẫn nằm trên máy chủ. Tài liệu chính thức nói rõ điều này:

if you are not using a specific plugin, delete it from the system.

— Hardening WordPress, WordPress Advanced Administration Handbook (dịch), 15/10/2026

wp plugin list --status=inactive --fields=name,version
wp theme list --status=inactive --fields=name,version

Việc 4: bật cập nhật và xác minh nó chạy. Bản vá bảo mật nhỏ của lõi được áp dụng tự động theo mặc định. Plugin và theme thì bạn phải tự bật từng cái. Bật xong chưa đủ, vì cơ chế này có thể hỏng mà không báo gì.

Chính chúng tôi từng gặp chuyện đó trong đợt WP2Shell. Một tuỳ chọn tối ưu tốc độ trên nền tảng WebCloud chặn site gọi tới api.wordpress.org. WordPress im lặng báo “đã ở bản mới nhất” dù lõi đã cũ. Chúng tôi sửa cấu hình này và nâng lõi lên 6.9.7. Chuyện này chỉ đúng với đợt đó, trên nền tảng của chúng tôi.

Cách kiểm: vào Tools, chọn Site Health, đọc mục Critical issues. WordPress có một cảnh báo riêng cho tình huống này:

Background updates ensure that WordPress can auto-update if a security update is released for the version you are currently using.

— Site Health screen, WordPress.org Documentation (dịch), 15/10/2026

Nhóm 2, tuần này: bốn việc, khoảng 55 phút

Nhóm này lo phần hậu quả: nếu có chuyện, bạn khôi phục được và kẻ dò mật khẩu bị chặn.

Việc 5: sao lưu tự động và thử khôi phục một lần. Có bản sao lưu chưa chứng minh khôi phục được. Khôi phục sang một bản sao của site, rồi mở trang chủ và đăng nhập thử. Làm đúng một lần là biết kế hoạch có chạy hay không.

Việc 6: giới hạn đăng nhập sai. Sau vài lần sai liên tiếp, hệ thống khoá địa chỉ đó một lúc. Bạn có thể dùng plugin hoặc cấu hình ở máy chủ. Chọn một cách và thử bằng mật khẩu sai.

Việc 7: HTTPS và hạn chứng chỉ. Mở site, nhìn ổ khoá, xem ngày hết hạn. Còn dưới 30 ngày thì xử lý ngay.

Việc 8: phân quyền. Người chỉ viết bài không cần Administrator. Hạ họ xuống Editor hoặc Author. Càng ít tài khoản quản trị, danh sách ở việc 1 càng dễ đọc.

Nhóm 3, hằng tháng: ba việc, 35–60 phút

Nhóm này chạy lặp. Đặt lịch cố định, ví dụ sáng thứ Hai đầu tháng.

Việc 9: cập nhật lõi, plugin, theme. Có sao lưu trước, cập nhật xong mở thử trang chủ và trang liên hệ. Bản vá cho lỗ hổng nghiêm trọng thì làm ngay trong ngày, không chờ lịch tháng.

wp core check-update
wp plugin list --update=available --fields=name,version,update_version

Việc 10: quét mã độc. Dùng công cụ quét của hosting hoặc plugin quét. Quan trọng là đọc kết quả, không chỉ bật quét.

Việc 11: xem nhật ký đăng nhập. Tìm đăng nhập quản trị vào giờ lạ hoặc từ nơi bạn không ở. Chỉ cần đọc lướt vài phút.

Nhóm 4, mỗi quý: thử khôi phục lại và rà hạn

Mỗi quý chúng tôi làm lại việc nặng nhất: thử khôi phục sao lưu sang bản sao, rà tài khoản quản trị, gỡ plugin không còn dùng, kiểm hạn tên miền, hosting và SSL trong 90 ngày tới. Lịch của chúng tôi ghi khoảng nửa buổi.

Lưu ý nếu bạn dùng hosting WebCloud: gói có SSL miễn phí, CDN, sao lưu định kỳ và cập nhật phần mềm hệ thống ba tháng một lần. Cập nhật hệ thống không thay cập nhật plugin hay lõi WordPress trong site của bạn. Hai việc đó vẫn là việc 9.

Tự làm hay nhờ người: 25–50 giờ mỗi năm

Theo lịch bảo trì website của chúng tôi, mỗi tuần mất khoảng 15–30 phút với site nhỏ, mỗi tháng 1–2 giờ. Phép tính cho một năm:

Nguồn: lịch bảo trì của Net Solutions, đọc 10/10/2026. Lịch tuần và tháng gồm cả việc ngoài bảo mật, như thử nút Gọi và biểu mẫu.

Chi phí tiền thì thấp nếu bạn tự làm: phần lớn là hosting. Gói SPEED của chúng tôi giá 100.000đ mỗi tháng, thanh toán tối thiểu 12 tháng.

Nguồn: https://www.netsolutions.vn/bang-gia-hosting/, đọc 11/10/2026. Hosting chịu VAT 10%, nên 12 tháng là 1.320.000đ đã gồm VAT.

Nếu không có người rành WordPress, hãy xem dịch vụ chăm sóc website. Chúng tôi nhận cả website WordPress không do Net Solutions làm. Ba gói là 1.500.000đ, 2.500.000đ và 3.500.000đ mỗi tháng. Đây là gói chăm sóc, gồm bài chuẩn SEO và ảnh, không phải gói bảo mật riêng. Hỏi chúng tôi để biết phần bảo trì nằm ở đâu trong phạm vi.

Để công bằng: một site nhỏ, có người rành WordPress trong đội, thì tự làm cả 12 việc là hợp lý. Site bán hàng, nhiều người cùng quản trị, hoặc không có ai đọc được nhật ký thì nên có người trực. Net Solutions không phù hợp nếu bạn chỉ cần một công cụ chạy ngầm mà không muốn ai chạm vào site.

Cách kiểm đã xong: dùng khung bàn giao của chúng tôi

Khi bàn giao website, chúng tôi dùng một checklist kiểm thử. Hai dòng liên quan đến bảo mật là “An toàn” và “Bàn giao”. Bạn có thể mượn chính khung đó để tự kiểm.

Nguồn: checklist kiểm thử web bàn giao của Net Solutions. Cột bằng chứng là gợi ý của chúng tôi.

Câu hỏi thường gặp

Site WordPress nhỏ có cần bảo mật không, hay hacker chỉ nhắm site lớn? Có. Lỗ hổng lõi nhắm vào phiên bản, không nhắm vào quy mô. Với CVE-2026-87902, yêu cầu tấn công đầu tiên tới cùng ngày bản vá ra. Site nhỏ chạy bản lõi cũ vẫn nằm trong diện bị ảnh hưởng, nên cập nhật là việc đầu tiên.

Làm gì đầu tiên nếu chỉ có 30 phút? Làm nhóm 1: đếm và dọn tài khoản quản trị, đặt mật khẩu dài kèm 2FA, xoá plugin và theme không dùng, rồi xác minh cập nhật tự động chạy được trong Site Health. Bốn việc này tổng cộng khoảng 30 phút.

Có cần plugin bảo mật không? Có đủ chưa? Plugin giúp giới hạn đăng nhập và quét mã độc, nhưng không thay được các việc còn lại. Plugin không dọn tài khoản quản trị lạ giúp bạn, không cập nhật lõi nếu cơ chế cập nhật hỏng, và không chứng minh được sao lưu khôi phục được.

2FA cho WordPress có bắt buộc không? WordPress không bắt buộc. Tài liệu Hardening của WordPress.org nói nên bật xác thực hai lớp như một lớp bảo vệ thêm. Chúng tôi khuyên bật cho mọi tài khoản quản trị, vì mật khẩu bị lộ là cách vào site phổ biến.

Sao lưu hằng ngày rồi thì còn cần gì nữa? Vẫn cần. Sao lưu chỉ giúp quay lại sau sự cố, không ngăn sự cố. Bạn cũng cần thử khôi phục ít nhất mỗi quý. Bản sao lưu chưa từng được khôi phục thử chỉ là giả định, chưa phải bằng chứng.

Hosting đã có SSL và sao lưu thì có cần làm thêm gì? Có. SSL và sao lưu là hai việc trong 12 việc. Hosting WebCloud cập nhật phần mềm hệ thống ba tháng một lần, nhưng lõi, plugin và theme trong site của bạn vẫn cần cập nhật riêng, cùng với tài khoản quản trị và 2FA.

Cập nhật 18/10/2026 bởi Công ty TNHH Net Solutions.