WordPress 7.1.4 แก้ช่องโหว่ที่อาจเปิดให้ผู้ไม่ล็อกอินรันโค้ดระหว่างการอัปเดต Core แบบเต็มแพ็กเกจ ขณะที่ Wordfence พบคำขอที่พยายามใช้ช่องโหว่จริงหลังออกแพตช์ องค์กรควรตรวจผลการอัปเดตของทุกเว็บไซต์ ไม่ถือว่าเปิดอัปเดตอัตโนมัติแล้วจะได้รับแพตช์แน่นอน [1][2]
เงื่อนไขและสถานะการโจมตี
ผู้โจมตีต้องเข้าถึงไฟล์ PHP ในพื้นที่พักไฟล์อัปเดตได้จากเว็บ และส่งคำขอให้ตรงช่วงเวลาสั้น ๆ ก่อนระบบเก็บกวาดไฟล์ชั่วคราว จึงมีเงื่อนไขซับซ้อน แม้ผลสำเร็จอาจนำไปสู่การรันโค้ดบนเซิร์ฟเวอร์ [2]
Wordfence ระบุ CVE-2026-119977 และคะแนน 8.1 พร้อมรายงานความพยายามโจมตี ข้อมูลที่ตรวจยังไม่ได้ยืนยันจำนวนเว็บไซต์ที่ถูกยึดสำเร็จ ไม่ควรนำจำนวนคำขอมาเท่ากับจำนวนผู้เสียหาย ข่าว SecurityWeek เดิมระบุว่ายังไม่มี CVE แต่บทความนี้ใช้รหัสจากข้อมูล Wordfence ที่ตรวจล่าสุด [2][3]
รุ่นแก้ไขและการดำเนินการ
WordPress ออก 7.1.4 เมื่อ 28 ตุลาคม 2569 และทยอยนำแพตช์กลับไปยังสายรุ่นเก่าถึง 4.7 ผู้ผลิตระบุว่ารุ่นล่าสุดเท่านั้นที่ได้รับการสนับสนุนเชิงรุก [1]
สำหรับสายที่ใช้แพร่หลาย Wordfence ระบุรุ่นแก้ไข ได้แก่ 7.1.4, 7.0.8, 6.9.11, 6.8.12, 6.7.11 และ 6.6.11 ส่วนสายอื่นให้ตรวจตาราง Patched Versions ในแหล่งอ้างอิง [2] รุ่นที่ไม่รองรับควรวางแผนย้าย ไม่อาศัยแพตช์ย้อนหลังเป็นแผนระยะยาว
มุมมอง ALPHASEC สำหรับองค์กรไทย
- จัดทำรายการเว็บไซต์: รวมเว็บย่อยและเว็บที่เอเจนซีดูแล กำหนดผู้รับผิดชอบยืนยันเลขรุ่นจริงหลังอัปเดต
- ป้องกันช่วงเปลี่ยนแปลง: ประสานผู้ดูแลเว็บเซิร์ฟเวอร์หรือ WAF เพื่อจำกัดการเข้าถึงพื้นที่พักไฟล์อัปเดตจากภายนอกตามสภาพระบบ โดยไม่ทำให้การแพตช์ล่าช้า
- ตรวจย้อนหลัง: ตรวจคำขอผิดปกติไปยังไฟล์ PHP ใต้
wp-content/upgradeบัญชีผู้ดูแล ปลั๊กอิน และไฟล์ที่ไม่อยู่ในแผนงาน [2] - ทดสอบหลังแพตช์: ตรวจหน้าเว็บ แบบฟอร์ม และระบบธุรกิจที่เชื่อมต่อ พร้อมเก็บหลักฐานผลทดสอบและรุ่นที่ติดตั้ง
แหล่งอ้างอิง
ตรวจแหล่งต้นฉบับและข่าวฉบับเต็ม 1 พฤศจิกายน 2569 เวลา 18:03 น. ไทย