Quy trình cập nhật plugin và theme an toàn

Có hai cách làm sai chuyện cập nhật. Một là phớt lờ nó suốt nhiều tháng. Hai là bấm “update all” lúc năm giờ chiều thứ Sáu rồi sáng thứ Hai phát hiện trang thanh toán trắng xóa. Một quy trình ngắn sẽ tránh được cả hai, và không cần biết lập trình. Bài viết này viết với WordPress trong đầu, nhưng các thói quen áp dụng được cho hầu hết các nền tảng.

Vì sao cập nhật quan trọng

Các nhà nghiên cứu bảo mật tại Sucuri thường xuyên công bố bản tổng hợp các lỗ hổng mới được tiết lộ trong plugin WordPress. Số tháng 2 năm 2026 của họ nêu vài điểm đáng nhớ. Các cuộc tấn công tự động nhắm vào lỗ hổng đã biết là một trong những cách hàng đầu khiến website bị xâm nhập. Nhiều vấn đề trong danh sách chỉ cần một tài khoản cấp thấp, và một số thậm chí không cần đăng nhập. Một số plugin trong danh sách chưa có bản vá tại thời điểm bài đó được viết. Tóm lại, để phần mềm nguyên đó không cập nhật tự nó đã là một rủi ro.

Trước khi bấm bất cứ thứ gì

Sao lưu mới cả tệp lẫn cơ sở dữ liệu, lưu tách khỏi máy chủ web. Nếu bạn chưa thiết lập, bài viết của chúng tôi về cách xây dựng quy trình sao lưu có hướng dẫn chi tiết.
Chọn thời điểm vắng khách. Hướng dẫn cập nhật theme của Jetpack gợi ý chọn lúc lượng truy cập thấp để ít khách bị ảnh hưởng nếu có sự cố.
Đọc ghi chú cập nhật. Nếu bản phát hành nhắc đến một bản vá bảo mật, hãy coi là khẩn cấp. Một thay đổi giao diện thì có thể chờ đến lần bảo trì tiếp theo.
Ghi lại những gì bạn đã tùy chỉnh. Cập nhật theme có thể ghi đè các thay đổi làm trực tiếp trong tệp của theme. Child theme, vốn kế thừa từ theme chính nhưng giữ các thay đổi của bạn ở riêng, là cách bảo vệ thông thường. Nếu bạn không chắc mình có child theme hay không, hãy hỏi lập trình viên trước khi cập nhật.

Thực hiện cập nhật

Dùng bản staging nếu hosting có hỗ trợ. Bạn nhân bản website, chạy cập nhật ở đó và tìm lỗi trước khi động đến bản đang chạy thật.
Cập nhật theo từng đợt nhỏ. Mỗi lần một plugin giúp dễ thấy plugin nào gây lỗi. Cập nhật cả chục cái cùng lúc biến việc chẩn đoán thành đoán mò.
Thực hiện các kiểm tra quan trọng sau mỗi bước thay vì để đến cuối cùng.

Kiểm tra năm phút sau mỗi lần cập nhật

Hãy để danh sách này ở nơi dễ thấy và làm lần lượt mỗi lần:

Mở trang chủ trong cửa sổ trình duyệt ẩn danh để thấy đúng những gì khách truy cập thấy.
Bấm qua menu chính và vài trang bên trong.
Gửi biểu mẫu liên hệ và xác nhận tin nhắn đã đến nơi.
Nếu bạn bán hàng online, thêm một sản phẩm vào giỏ và đi tới bước thanh toán nhưng không thanh toán.
Xem trang trên điện thoại.
Xóa cache của plugin caching hoặc cache của hosting rồi xem lại.

Hướng dẫn về theme của Jetpack đặc biệt nhắc đến việc kiểm tra menu, biểu mẫu, điều hướng và cửa hàng online sau khi cập nhật, khá khớp với danh sách trên.

Việc dọn dẹp giúp giảm rủi ro

Xóa những gì bạn không dùng. Sucuri khuyên gỡ các plugin không dùng vì chúng vẫn có thể bị khai thác.
Thay thế plugin bị bỏ rơi. Nếu một plugin có lỗ hổng đã biết mà chưa có bản vá, lời khuyên là vô hiệu hóa nó hoặc đổi sang giải pháp thay thế.
Rà soát ai có quyền truy cập. Nhiều cách khai thác dựa vào việc kẻ tấn công nắm được một tài khoản nào đó, vì vậy hãy giữ vai trò người dùng chặt chẽ và xóa các tài khoản không còn cần.
Cập nhật lên bản mới nhất, không chỉ bản tối thiểu được nêu trong thông báo bảo mật.

Nếu có sự cố

Đừng hoảng và đừng bấm liên tục. Hướng dẫn khôi phục của WPBeginner đưa ra một trình tự phù hợp với người mới:

Khôi phục bản sao lưu đang chạy tốt qua plugin sao lưu hoặc công cụ khôi phục của hosting. Đây thường là cách sửa nhanh nhất.
Hoặc chỉ quay lại bản cũ của phần bị lỗi. Với các mục từ thư mục WordPress.org, một plugin rollback có thể cài lại phiên bản trước. Với sản phẩm trả phí, hãy tải phiên bản cũ từ tài khoản của nhà cung cấp và tải lên ghi đè.
Nếu website hiện lỗi nghiêm trọng (critical error), hãy kiểm tra hộp thư email quản trị viên. WordPress gửi một thư kèm liên kết khôi phục cho phép bạn đăng nhập và tắt mục gây lỗi.
Là phương án cuối cùng, hãy vô hiệu hóa tất cả plugin qua trình quản lý tệp của hosting, sau đó bật lại từng cái một cho đến khi tìm ra thủ phạm.
Khi mọi thứ đã ổn định, hãy xóa cache, kiểm tra lại các trang chính, rồi thử cập nhật lại sau khi có bản sao lưu mới, hoặc tìm giải pháp thay thế.

Khi nào nên gọi lập trình viên

Hãy nhờ hỗ trợ nếu không vào được khu vực quản trị và email khôi phục không bao giờ đến, nếu một bản cập nhật làm hỏng theme đã tùy chỉnh, nếu một plugin bạn phụ thuộc đã bị bỏ rơi và không có giải pháp thay thế, hoặc nếu việc cập nhật bị bỏ qua quá lâu đến mức phải áp dụng cùng lúc nhiều phiên bản lớn. Lập trình viên cũng có thể thiết lập staging và lịch cập nhật định kỳ để việc cập nhật trở nên nhàm chán, đúng là điều bạn muốn. Bạn có thể xem những việc chúng tôi làm tại trang dịch vụ, và nếu theme là phần cứ gây rắc rối, các theme của chúng tôi đáng để xem.