สรุปสั้น
ช่องโหว่คู่บน WordPress ที่มีชื่อรหัสว่า wp2shell ซึ่งเมื่อนำมาต่อกันจะเปิดทางให้รันโค้ดจากระยะไกลได้โดยไม่ต้องล็อกอิน (unauthenticated RCE) และยึดเว็บไซต์ได้ทั้งหมด ได้เข้าสู่ช่วงถูกโจมตีจริงเป็นวงกว้างแล้ว หลังจากมีโค้ดโจมตีตัวอย่าง (PoC) หลุดสู่สาธารณะ ช่องโหว่นี้ประกอบด้วย CVE-2026-63030 (route confusion ที่ REST API batch endpoint ข้ามการยืนยันตัวตน) และ CVE-2026-60137 (SQL injection ผ่านพารามิเตอร์ author__not_in) โดย Cloud Thunder เคยรายงานการเปิดเผยช่องโหว่นี้ไปแล้วในโพสต์ก่อนหน้า รอบนี้เป็นความเคลื่อนไหวใหม่ที่ยกระดับจากการเปิดเผยไปสู่การโจมตีจริงในวงกว้าง
บริษัท watchTowr ระบุว่าช่วงเช้าวันเสาร์ (เวลา UTC) การโจมตีที่สำเร็จก็เกิดขึ้นแล้ว เริ่มจากใช้ PoC สาธารณะขโมยรหัสผ่านที่ถูกแฮชออกไป แล้วตามด้วยการรันโค้ดจากระยะไกลเมื่อมีรายละเอียดเพิ่มถูกเปิดเผย honeypot ของบริษัทจับความพยายามโจมตีได้หลายหมื่นครั้ง และพบว่ามีการสร้างบัญชีผู้ดูแลระบบ (admin) หลังบ้านไปแล้วกว่า 100 บัญชี ผู้โจมตีบางรายพยายามติดตั้ง Overlord RAT ซึ่งเป็นโทรจันควบคุมระยะไกลที่เขียนด้วยภาษา Go ผู้ดูแลเว็บควรรีบอัปเดตและตรวจหาร่องรอยการบุกรุก แม้จะแพตช์ไปแล้วก็ตาม
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 21 กรกฎาคม พ.ศ. 2569 ว่าผู้โจมตีได้เริ่มฉวยใช้ช่องโหว่ระดับวิกฤต 2 รายการบน WordPress ที่เมื่อนำมาต่อกันจะทำให้รันโค้ดจากระยะไกลได้โดยไม่ต้องยืนยันตัวตน และยึดครองเว็บไซต์ที่มีช่องโหว่ได้ทั้งหมด ช่องโหว่ทั้งสองถูกติดตามในชื่อ CVE-2026-63030 และ CVE-2026-60137 รวมเรียกว่า wp2shell
นาย Jake Knott นักวิจัยความปลอดภัยหลักของบริษัท watchTowr เปิดเผยกับ The Hacker News ว่า “ช่วงเช้ามืดวันเสาร์ (เวลา UTC) การโจมตีที่สำเร็จก็ดำเนินไปมากแล้ว โดยเริ่มจากใช้โค้ดโจมตีสาธารณะเพื่อดึงรหัสผ่านที่ถูกแฮชออกมา แล้วตามด้วยการรันโค้ดจากระยะไกลเมื่อมีรายละเอียดเพิ่มเติมถูกเปิดเผย” และเสริมว่า “จากมุมมองของเราที่ครอบคลุมฐานลูกค้าทั่วโลก เราเห็นผลกระทบเป็นวงกว้างจากช่องโหว่นี้ในองค์กรทุกขนาดและทุกอุตสาหกรรม”
ข้อมูลจาก KEVIntel แสดงว่ามีที่อยู่ IP ที่ไม่ซ้ำกัน 13 รายการจากสวิตเซอร์แลนด์ เยอรมนี สหราชอาณาจักร อินโดนีเซีย ลิทัวเนีย เนเธอร์แลนด์ และสิงคโปร์ เชื่อมโยงกับการโจมตี CVE-2026-63030 โดยนาย Ryan Dewhurst ผู้ก่อตั้งและซีอีโอของ KEVIntel ระบุว่าการโจมตีได้ขยายจากการเจาะจงเซนเซอร์เฉพาะ WordPress ไปสู่การสแกนทั่วอินเทอร์เน็ต ซึ่งคำร้องขอตรงกับ PoC สาธารณะ นาย Dewhurst ยังชี้ว่าผู้โจมตีใช้เทคนิค SQL injection หลายแบบทั้ง blind, UNION-based และ Boolean-based และเตือนว่าการวิเคราะห์ด้วยความช่วยเหลือของ AI ทำให้การจำลองช่องโหว่และพัฒนา PoC กลายเป็นเรื่องง่าย ลดกำแพงทางเทคนิคในการสร้างโค้ดโจมตีลงอย่างมากเมื่อรายละเอียดถูกเปิดเผยเพียงพอ
ตัวเลขหลังผ่านไปหนึ่งสัปดาห์ — 45 ล้านครั้งจากเกือบ 150,000 แหล่ง
หนึ่งเดือนหลังเหตุการณ์ มีการเผยแพร่ตัวเลขที่ทำให้เห็นขนาดของการโจมตีชัดขึ้นมาก บทความความเห็นบนเว็บไซต์ Cyber Security News เมื่อวันที่ 22 สิงหาคม 2569 เขียนโดยนาย Joey Stanford ประธานเจ้าหน้าที่ฝ่ายความมั่นคงสารสนเทศของบริษัท Pantheon ซึ่งเป็นผู้ให้บริการโฮสติงเว็บไซต์ ระบุว่าในสัปดาห์แรกหลังการเปิดเผยช่องโหว่ มีความพยายามโจมตีมากกว่า 45 ล้านครั้งจากแหล่งเครือข่ายที่ไม่ซ้ำกันเกือบ 150,000 แหล่ง และเมื่อเทียบกับเหตุการณ์ Drupalgeddon ในอดีต ขนาดของการโจมตีครั้งนี้ใหญ่กว่าราว 20 เท่า ซึ่งผู้เขียนใช้เป็นหลักฐานว่ากำลังการโจมตีอัตโนมัติที่มีอยู่ในระบบนิเวศเพิ่มขึ้นมากเพียงใด
รายละเอียดที่มีน้ำหนักที่สุดในบทความไม่ใช่ตัวเลข แต่คือลักษณะของการสแกน ผู้เขียนระบุว่าระหว่างเหตุการณ์นี้พบการสแกนหาช่องโหว่ wp2shell แบบอัตโนมัติยิงใส่ระบบที่ใช้ Drupal ด้วยรูปแบบ URL ที่เป็นของ WordPress โดยเฉพาะ ทั้งที่ระบบเหล่านั้นไม่มีทางมีช่องโหว่ตัวนี้ได้เลยตั้งแต่ต้น นั่นแปลว่าการสแกนไม่ได้ผ่านการคัดกรองหรือการสำรวจเป้าหมายล่วงหน้าใด ๆ แต่เป็นการยิงกราดใส่ทุกอย่างที่เข้าถึงได้บนอินเทอร์เน็ต โดยมีรูปแบบ URL ทำหน้าที่เป็นการเล็งเป้าเพียงอย่างเดียว ในระดับปริมาณขนาดนี้ คำขอที่ล้มเหลวแทบไม่มีต้นทุนสำหรับผู้โจมตี เศรษฐศาสตร์ของการโจมตีจึงเปลี่ยนจาก “ระบุเป้าหมายก่อนแล้วค่อยโจมตี” มาเป็น “โจมตีให้กว้างไว้ก่อนแล้วค่อยดูว่าอันไหนสำเร็จ”
ผู้เขียนยังเชื่อมโยงไปถึงบทบาทของ AI โดยระบุว่าการทำงานอัตโนมัติของโค้ดโจมตีไม่ใช่เรื่องใหม่ แต่โมเดลภาษาขนาดใหญ่ในปัจจุบันอาจย่นเวลาบางส่วนของกระบวนการลงได้อีก ทั้งการตีความเอกสารการเปิดเผยช่องโหว่ การดัดแปลงโค้ดพิสูจน์แนวคิด การสร้างเพย์โหลดหลายรูปแบบ และการแก้ปัญหาสคริปต์ที่ทำงานไม่ได้ อย่างไรก็ตามผู้เขียนย้ำว่า AI ไม่ใช่สาเหตุเดียวของขนาดการโจมตีครั้งนี้ และสิ่งที่ทีมความมั่นคงควรยึดคือการตั้งสมมติฐานว่าช่องโหว่ใหม่จะถูกแปลงเป็นการโจมตีที่ใช้งานได้เร็วกว่าที่เคย ไม่ว่าผู้โจมตีจะใช้เครื่องมืออัตโนมัติชนิดใดก็ตาม
ประเด็นเชิงปฏิบัติที่บทความเน้นคือการแยกระหว่างการบรรเทาผลกระทบกับการแก้ที่ต้นเหตุ การตัดห่วงโซ่การโจมตีได้ไม่ได้แปลว่าช่องโหว่หายไป ตัวอย่างเช่นการแยกส่วนด้วยคอนเทนเนอร์และการควบคุมขณะทำงานอาจสกัดส่วนที่เป็นการรันโค้ดจากระยะไกลได้ ซึ่งลดผลกระทบลงมากแม้ช่องโหว่จะถูกโจมตีอยู่เป็นวงกว้าง แต่แอปพลิเคชันที่ยังไม่ได้แพตช์ก็ยังคงเสี่ยงต่อองค์ประกอบอื่นของห่วงโซ่ เช่นส่วนที่เป็น SQL injection อยู่ดี จนกว่าจะมีการแก้ไขในระดับแอปพลิเคชันและวางการป้องกันระดับเครือข่ายให้ครบ มาตรการอย่างการแบ่งเขตเครือข่าย กฎ WAF และการควบคุมที่ขอบ จึงควรถูกมองเป็นชั้นที่ซื้อเวลาให้ฝ่ายตั้งรับ ไม่ใช่สิ่งที่ใช้แทนการแพตช์
ข้อสังเกตสุดท้ายคือเรื่องหางยาวของการติดตั้งแพตช์ ผู้เขียนระบุว่าหลายสัปดาห์หลังการแก้ไขออกมา ภาพยังคงปะปนกัน บางองค์กรแพตช์ภายในไม่กี่วัน ขณะที่บางแห่งยังเปิดช่องอยู่จนถึงวันที่เขียนบทความ ซึ่งเป็นช่วงเวลาที่มาตรการชดเชยแสดงคุณค่าออกมาชัดที่สุด ทั้งนี้ต้องระบุไว้ด้วยว่าบทความชิ้นนี้เป็นบทความแสดงความเห็นที่เขียนโดยผู้บริหารของผู้ให้บริการโฮสติงรายหนึ่ง ตัวเลขทั้งหมดมาจากมุมมองของแพลตฟอร์มนั้นเอง ไม่มีการเผยแพร่ระเบียบวิธีการนับหรือข้อมูลดิบประกอบ และการเทียบกับ Drupalgeddon ก็ไม่ได้ระบุแหล่งอ้างอิงของตัวเลขฝั่งนั้น ผู้อ่านจึงควรใช้ตัวเลขเหล่านี้เพื่อดูขนาดเชิงเปรียบเทียบ มากกว่าจะยึดเป็นสถิติที่ตรวจสอบได้
รายละเอียดช่องโหว่
exploit chain ที่ค้นพบโดยบริษัท Searchlight Cyber (ซึ่งใช้ OpenAI GPT 5.6 Sol ในเวลากว่า 10 ชั่วโมง) เปิดทางให้ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนรันโค้ดจากระยะไกลบน WordPress ที่ติดตั้งแบบมาตรฐานได้ ในทุกเวอร์ชันที่ออกตั้งแต่เดือนธันวาคม พ.ศ. 2568 เป็นต้นมา โดยบริษัทระบุว่า “การโจมตีนี้ไม่มีเงื่อนไขล่วงหน้า และผู้ใช้นิรนามสามารถโจมตีได้บน WordPress ที่ติดตั้งมาตรฐานโดยไม่มีปลั๊กอินใดๆ”
ตามข้อมูลจาก Cloudflare CVE-2026-63030 เปิดให้รันโค้ดจากระยะไกลแบบไม่ต้องยืนยันตัวตนได้เฉพาะเมื่อไม่ได้ใช้ persistent object cache ขณะที่ช่องโหว่ SQL injection (CVE-2026-60137) มีอยู่ตั้งแต่เวอร์ชัน 6.8 เป็นต้นไป แต่ RCE จะกระทบเวอร์ชัน 6.9 ขึ้นไป นาย Ben Marr วิศวกรความปลอดภัยของบริษัท Intruder อธิบายว่าการโจมตีใช้ห่วงโซ่ช่องโหว่ 2 ส่วนเพื่อรันโค้ดโดยไม่ต้องยืนยันตัวตนด้วย HTTP request เพียงคำขอเดียว โดย CVE-2026-63030 เป็นจุดเริ่มต้น — เป็นบั๊ก route confusion ที่ REST API batch endpoint ซึ่งข้ามการยืนยันตัวตน ทำให้ผู้โจมตีเรียก handler ภายในได้โดยไม่มีการตรวจสิทธิ์ ส่วน CVE-2026-60137 เกิดจากการทำความสะอาดพารามิเตอร์ author__not_in ใน WP_Query ที่ไม่รัดกุมเมื่อปลั๊กอินหรือธีมส่งข้อมูลที่ไม่น่าเชื่อถือเข้าไป ทำให้ข้อมูลที่ประดิษฐ์ขึ้นเปลี่ยนแปลงคำสั่งฐานข้อมูลได้
ข้อมูลจาก Wiz (บริษัทในเครือ Google) ชี้ว่า 60% ขององค์กรที่ใช้ WordPress มีอินสแตนซ์ที่มีช่องโหว่อย่างน้อยหนึ่งตัวในช่วงที่ CVE เหล่านี้ถูกเปิดเผย และ 25% เปิดเซิร์ฟเวอร์ที่มีช่องโหว่สู่อินเทอร์เน็ต แม้ตัวเลขจะลดลงเมื่อองค์กรทยอยแพตช์ Wiz สังเกตพฤติกรรมหลังการเจาะระบบหลายอย่าง ได้แก่ การอัปโหลดปลั๊กอินอันตราย การไล่รวบรวมชื่อผู้ใช้และอีเมลของแอดมิน การทำ local file inclusion (LFI) เพื่อดึงข้อมูลรับรองฐานข้อมูลและ authentication key ออกไป การเข้าถึงหน้าแอดมินและล็อกอินสำเร็จ ตลอดจนการอัปโหลดเว็บเชลล์ PHP นอกจากนี้ยังพบเว็บเชลล์ขนาด 150 KB ที่ปลอมเป็นปลั๊กอินความปลอดภัยชื่อ CMSmap ทำหน้าที่เป็น “แพลตฟอร์มโจมตีครบวงจร” รองรับการจัดการไฟล์ เข้าถึงฐานข้อมูล สแกนพอร์ต ฉีดโค้ดเป็นชุด และมีโมดูลยกระดับสิทธิ์หลายตัวรวมถึงการใช้ MySQL UDF
ผลกระทบต่อไทย
WordPress เป็นระบบจัดการเนื้อหา (CMS) ที่ได้รับความนิยมสูงที่สุดในไทย ใช้กันแพร่หลายทั้งเว็บไซต์หน่วยงานราชการ สถาบันการศึกษา ธุรกิจ SME สื่อ และร้านค้าออนไลน์ เนื่องจากช่องโหว่นี้โจมตีได้โดยไม่ต้องล็อกอินและไม่ต้องมีปลั๊กอินใดๆ เว็บไซต์ไทยที่รัน WordPress เวอร์ชัน 6.9 ขึ้นไปและไม่ได้เปิด persistent object cache จึงมีความเสี่ยงถูกยึดเต็มรูปแบบ เมื่อ PoC หลุดสู่สาธารณะและมีการสแกนทั่วอินเทอร์เน็ต เว็บไทยที่ปิดการอัปเดตอัตโนมัติหรืออัปเดตล้มเหลวจะตกเป็นเป้าโดยไม่เลือกหน้า และการที่ผู้โจมตีสร้างบัญชีแอดมินหลังบ้านทิ้งไว้ทำให้แค่แพตช์อย่างเดียวไม่พอ เว็บที่เคยเปิดช่องไว้อาจถูกฝังตัวไปแล้ว จึงต้องตรวจสอบร่องรอยการบุกรุกอย่างละเอียดควบคู่กัน
คำแนะนำ
ผู้ดูแลระบบควรอัปเดต WordPress เป็นเวอร์ชันที่แก้ไขแล้วโดยทันที และไม่ควรถือว่าเพียงแค่แพตช์เท่านั้นก็เพียงพอ นาย Dewhurst แนะนำว่าเว็บที่ยังมีช่องโหว่หลังจากโค้ดโจมตีสาธารณะออกมาแล้วควรอัปเดตทันทีและตรวจสอบระบบหาร่องรอยการบุกรุก เพราะการเจาะระบบอาจเกิดขึ้นไปแล้ว จุดที่ต้องตรวจเป็นพิเศษคือบัญชีผู้ดูแลระบบที่ถูกสร้างใหม่ (มีรายงานว่าถูกสร้างไปกว่า 100 บัญชี) ปลั๊กอินแปลกปลอมโดยเฉพาะที่ปลอมเป็นปลั๊กอินความปลอดภัย และไฟล์ต้องสงสัยอื่นๆ ไม่ว่าจะแพตช์แล้วหรือไม่ก็ตาม เพื่อกำจัดภัยคุกคามให้หมดจด นอกจากนี้ควรเปิดใช้การอัปเดตอัตโนมัติสำหรับ security release และพิจารณาใช้ WAF ที่มีกฎรองรับช่องโหว่นี้เพื่อลดหน้าต่างความเสี่ยง สำหรับเว็บที่ใช้ persistent object cache (เช่น Redis/Memcached) แม้จะช่วยลดโอกาส RCE ได้ แต่ก็ไม่ใช่การแก้ไขที่แท้จริงและยังต้องอัปเดตอยู่ดี