Wordfence สกัดการโจมตีกว่า 440,000 ครั้ง เล็งช่องโหว่อัปโหลดไฟล์ใน Super Forms และ Elementor Pro — ยิงเว็บเชลล์ PHP ยึด WordPress ทั้งเว็บ

สรุปสั้น

ผู้ก่อภัยคุกคามกำลังเดินสายโจมตีช่องโหว่ระดับวิกฤตสองรายการในปลั๊กอิน WordPress ยอดนิยม ได้แก่ Super Forms และ Elementor Pro ตามผลการตรวจสอบของบริษัท Wordfence ซึ่งเป็นผู้ให้บริการด้านความปลอดภัยสำหรับ WordPress โดยช่องโหว่ทั้งสองรายการอยู่ในกลุ่มเดียวกันคือการอัปโหลดไฟล์โดยไม่ตรวจสอบชนิดไฟล์ ทำให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนใด ๆ สามารถอัปโหลดไฟล์ชนิดใดก็ได้ รวมถึงไฟล์ PHP ที่รันได้ ซึ่งนำไปสู่การรันโค้ดจากระยะไกลบนเซิร์ฟเวอร์

ช่องโหว่แรกคือ CVE-2026-14894 คะแนน CVSS 9.8 ในปลั๊กอิน Super Forms – Drag & Drop Form Builder ได้รับการแก้ไขในเวอร์ชัน 6.3.314 ส่วนช่องโหว่ที่สองคือ CVE-2026-32475 ใน Elementor Pro ได้รับการแก้ไขในเวอร์ชัน 4.2.2 โดยรายละเอียดของช่องโหว่ตัวหลังถูกเปิดเผยโดย Patchstack ไปตั้งแต่เดือนก่อนหน้า Wordfence ระบุในรายงานสองฉบับที่เผยแพร่ในสัปดาห์นี้ว่าได้สกัดความพยายามโจมตีไปแล้วกว่า 250,000 ครั้งสำหรับ CVE-2026-14894 และกว่า 190,000 ครั้งสำหรับ CVE-2026-32475 รวมกันเกิน 440,000 ครั้ง

สิ่งที่ผู้โจมตีทำเมื่ออัปโหลดสำเร็จคือการวางเว็บเชลล์ PHP ไว้บนเว็บไซต์แล้วใช้เป็นช่องทางรันคำสั่งต่อ ซึ่งนำไปสู่การสร้างบัญชีผู้ดูแล การขโมยข้อมูลออก หรือการยึดเว็บไซต์ WordPress ทั้งเว็บ การโจมตีชุด Super Forms เริ่มตั้งแต่วันที่ 14 กรกฎาคม 2569 และพุ่งขึ้นสูงสุดกว่า 40,000 คำร้องต่อวันในวันที่ 18 สิงหาคม 2569 ส่วนชุด Elementor Pro เริ่มขึ้นภายหลังในวันที่ 19 สิงหาคม 2569

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 4 กันยายน 2569 ว่าผู้ก่อภัยคุกคามกำลังใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัยระดับวิกฤตสองรายการในปลั๊กอิน WordPress ชื่อ Super Forms และ Elementor Pro โดยอ้างอิงผลการตรวจจับจากบริษัท Wordfence

รายละเอียดของช่องโหว่ทั้งสองมีดังนี้ CVE-2026-14894 คะแนน CVSS 9.8 เป็นช่องโหว่จากการไม่ตรวจสอบชนิดไฟล์ในปลั๊กอิน Super Forms – Drag & Drop Form Builder ที่เปิดทางให้ผู้โจมตีซึ่งไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ชนิดใดก็ได้รวมถึงไฟล์ PHP ที่รันได้ นำไปสู่การรันโค้ดจากระยะไกล แก้ไขแล้วในเวอร์ชัน 6.3.314 ส่วน CVE-2026-32475 เป็นช่องโหว่ใน Elementor Pro ที่มีลักษณะเดียวกัน แก้ไขแล้วในเวอร์ชัน 4.2.2

จุดที่ต้องระบุไว้ตามตรงคือคะแนนความรุนแรงของ CVE-2026-32475 ถูกรายงานไว้เป็นสองค่าคือ 9.0 และ 9.8 ซึ่งบทความไม่ได้อธิบายว่าค่าใดมาจากแหล่งใด ผู้อ่านจึงควรถือว่าเป็นช่องโหว่ระดับวิกฤตทั้งสองกรณีและไม่ควรนำตัวเลขนี้ไปใช้เปรียบเทียบเชิงลำดับความสำคัญอย่างเคร่งครัด

เงื่อนไขการโจมตีของ Elementor Pro มีข้อจำกัดที่ผู้ดูแลระบบใช้ประเมินตัวเองได้ นั่นคือเว็บไซต์เป้าหมายต้องมีหน้าที่เผยแพร่แล้วอย่างน้อยหนึ่งหน้าซึ่งมีวิดเจ็ตฟอร์มที่มีฟิลด์อัปโหลดไฟล์อยู่ด้วย เว็บไซต์ที่ติดตั้งปลั๊กอินไว้แต่ไม่ได้สร้างฟอร์มลักษณะนี้จึงไม่เข้าเงื่อนไข อย่างไรก็ตามการประเมินนี้ต้องอาศัยการไล่ตรวจหน้าเว็บจริง ไม่ใช่การเดาจากรายการปลั๊กอินที่ติดตั้ง

ในเชิงลำดับเวลา ช่องโหว่ Elementor Pro ถูกเปิดเผยรายละเอียดโดย Patchstack ไปเมื่อเดือนก่อน และการโจมตีจริงเริ่มขึ้นในวันที่ 19 สิงหาคม 2569 ขณะที่ฝั่ง Super Forms การโจมตีเริ่มเร็วกว่าคือวันที่ 14 กรกฎาคม 2569 ก่อนไต่ขึ้นสู่จุดสูงสุดที่มากกว่า 40,000 คำร้องโจมตีในวันเดียวเมื่อวันที่ 18 สิงหาคม 2569

รายละเอียดช่องโหว่

ในการโจมตีที่ใช้ CVE-2026-14894 ผู้ก่อภัยคุกคามส่งคำร้อง HTTP POST ไปยัง “/wp-admin/admin-ajax.php” โดยเรียกเอนด์พอยต์ “super_submit_form” พร้อมแนบฟิลด์ไฟล์ที่บรรจุเพย์โหลด PHP ซึ่งเข้ารหัสแบบ Base64 ไว้ และกำหนดชื่อไฟล์ตามที่ผู้โจมตีต้องการ

ไฟล์ที่อัปโหลดขึ้นไปถูกประกาศชนิดไว้ว่าเป็น “data:image/gif;base64” แต่เนื้อในเป็นเว็บเชลล์ PHP สำหรับอัปโหลดไฟล์ต่อ ซึ่งใช้ชื่อว่า “Mushr00w_upl.php” เว็บเชลล์ตัวนี้ทำหน้าที่เป็นท่อสำหรับส่งเพย์โหลดชุดถัดไปขึ้นสู่เว็บไซต์ กล่าวคือขั้นแรกคือการวางประตูหลังไว้ก่อน แล้วค่อยใช้ประตูนั้นขนเครื่องมือที่หนักกว่าเข้าไปในภายหลัง จุดที่ควรสังเกตคือการตรวจสอบชนิดไฟล์จากค่าที่ผู้ส่งประกาศมาเองนั้นไม่มีความหมายในเชิงความปลอดภัย เพราะผู้โจมตีเป็นผู้กำหนดค่านั้นทั้งหมด

ส่วนการโจมตี CVE-2026-32475 ใช้เทคนิคที่ต่างออกไป บริษัท Wordfence อธิบายว่า “ผู้โจมตีส่งฟิลด์อัปโหลดไฟล์ของฟอร์มมาในรูปแบบอาร์เรย์ โดยสมาชิกตัวแรกเว้นว่างไว้และสมาชิกตัวที่สองบรรจุเพย์โหลด PHP พร้อมชื่อไฟล์นามสกุล .php ซึ่งเป็นโครงสร้างที่ทำให้การตรวจสอบถูกข้ามไป”

“เมื่อไฟล์ถูกเขียนลงแล้ว ไฟล์ PHP ที่อัปโหลดขึ้นมาจะถูกวางไว้ในไดเรกทอรี ‘/wp-content/uploads/elementor/forms/’ ภายใต้ชื่อไฟล์ที่สุ่มขึ้นแต่ยังคงนามสกุล .php ตามที่ผู้โจมตีกำหนด และผู้โจมตีสามารถเรียกไฟล์นั้นโดยตรงเพื่อรันคำสั่งตามอำเภอใจบนเซิร์ฟเวอร์ได้” บริษัทด้านความปลอดภัย WordPress รายนี้ระบุ

รายงานอีกฉบับที่เผยแพร่ในวันที่ 5 กันยายน 2569 ให้รายละเอียดของสาเหตุที่แท้จริงในฝั่ง Elementor Pro ชัดเจนขึ้น โดยอ้างคำอธิบายของบริษัท Defiant ซึ่งเป็นบริษัทด้านความปลอดภัย WordPress ที่ดำเนินการ Wordfence ว่าช่องโหว่นี้อยู่ในฟังก์ชันที่จัดการการส่งฟอร์ม แม้ข้อมูลที่ส่งเข้ามาจะถูกส่งผ่านกลไกตรวจสอบและประมวลผลของปลั๊กอินตามปกติ แต่เมื่อวงรอบการตรวจสอบพบช่องอัปโหลดที่ถูกทำเครื่องหมายว่าว่างเปล่า มันจะสร้างข้อผิดพลาดแล้วคืนค่ากลับทันที ซึ่งเป็นการยกเลิกการตรวจสอบไฟล์อื่นทั้งหมดในฟิลด์เดียวกัน

พฤติกรรมที่ถูกต้องควรเป็นการทำงานต่อไปโดยข้ามรายการที่ว่างเปล่านั้น แต่ช่องโหว่นี้ทำให้การตรวจสอบไม่เคยถูกนำไปใช้กับไฟล์ที่เหลือซึ่งอัปโหลดผ่านฟิลด์เดียวกันเลย ผู้โจมตีจึงส่งฟิลด์อัปโหลดมาเป็นอาร์เรย์สองส่วน คือช่องว่างเปล่าที่ทำหน้าที่กระตุ้นให้ฟังก์ชันคืนค่ากลับ ตามด้วยเพย์โหลด PHP ที่ถูกอัปโหลดขึ้นโดยไม่ผ่านการตรวจสอบ และเนื่องจากฟังก์ชันที่จัดการการประมวลผลฟิลด์นั้นข้ามช่องว่างเปล่าไปอย่างถูกต้องแล้วประมวลผลส่วนที่สองซึ่งยังไม่ถูกตรวจสอบต่อ ไฟล์ที่ผู้โจมตีส่งมาจึงถูกเขียนลงดิสก์ กล่าวคือความผิดพลาดอยู่ที่ตัวตรวจสอบกับตัวประมวลผลตีความอาร์เรย์เดียวกันไม่ตรงกัน ตัวหนึ่งหยุดกลางทาง อีกตัวเดินต่อจนจบ “ผลก็คือผู้โจมตีที่ไม่ต้องยืนยันตัวตนสามารถเรียกไฟล์ที่อัปโหลดขึ้นไปเพื่อรันเพย์โหลด PHP ของตนบนเซิร์ฟเวอร์ได้” Defiant อธิบาย พร้อมระบุว่าสิ่งนี้อาจนำไปสู่การยึดเว็บไซต์ทั้งเว็บ

เมื่อได้ความสามารถรันโค้ดแล้ว เส้นทางต่อไปเป็นแบบแผนมาตรฐานของการยึดเว็บไซต์ WordPress คือการสร้างบัญชีผู้ดูแลระบบขึ้นใหม่ การขโมยข้อมูลในฐานข้อมูลออกไป หรือการเข้าควบคุมเว็บไซต์ทั้งเว็บ ซึ่งรวมถึงการฝังโค้ดเปลี่ยนเส้นทางผู้เข้าชมหรือใช้เว็บไซต์เป็นฐานโจมตีเป้าหมายอื่นต่อไป

ขอบเขตของเว็บไซต์ที่เสี่ยง

ตัวเลขฐานผู้ใช้ทำให้เห็นภาพขนาดของปัญหาชัดขึ้น Elementor เป็นเครื่องมือสร้างเว็บไซต์แบบลากวางที่ได้รับความนิยมสูงมาก โดยตัวปลั๊กอินฟรีมียอดติดตั้งเกิน 10 ล้านครั้ง ส่วน Elementor Pro คือรุ่นเสียเงินที่เพิ่มความสามารถเข้ามา รวมถึงวิดเจ็ตฟอร์มที่รองรับฟิลด์อัปโหลดไฟล์ ซึ่งเป็นส่วนที่มีช่องโหว่ และมียอดติดตั้งที่ยังใช้งานอยู่มากกว่า 6 ล้านรายการ

CVE-2026-32475 คะแนน CVSS 9.8 กระทบ Elementor Pro ทุกเวอร์ชันจนถึง 4.2.1 และได้รับการแก้ไขในเวอร์ชัน 4.2.2 ที่ออกเมื่อวันที่ 19 สิงหาคม โดย Defiant ระบุว่าผู้ก่อภัยคุกคามเริ่มใช้ช่องโหว่นี้โจมตีทันทีหลังแพตช์ออกมา ซึ่งเป็นแบบแผนที่พบบ่อยขึ้นเรื่อย ๆ เพราะแพตช์เองคือแผนที่ที่บอกว่าช่องโหว่อยู่ตรงไหน

ข้อจำกัดของหลักฐานที่ควรระบุไว้คือ Defiant ระบุว่ายังไม่ชัดเจนว่าในยอดติดตั้ง Elementor Pro กว่า 6 ล้านรายการนั้นมีกี่รายการที่ได้รับผลกระทบจริง อย่างไรก็ตามข้อมูลจากฝั่ง WordPress ระบุว่า ณ วันที่ 4 กันยายน ราวสองในสามของยอดติดตั้ง Elementor ทั้ง 10 ล้านรายการยังรันปลั๊กอินเวอร์ชันที่มีช่องโหว่อยู่ ตัวเลขนี้เป็นภาพของอัตราการอัปเดตในระบบนิเวศ WordPress มากกว่าจะเป็นจำนวนเว็บไซต์ที่เข้าเงื่อนไขการโจมตีโดยตรง เนื่องจากยังต้องมีหน้าที่เผยแพร่แล้วซึ่งมีฟอร์มที่มีฟิลด์อัปโหลดไฟล์ประกอบด้วย

ผลกระทบ

ผู้ที่ได้รับผลกระทบคือเจ้าของเว็บไซต์ WordPress ที่ยังใช้ Super Forms เวอร์ชันก่อน 6.3.314 หรือ Elementor Pro เวอร์ชันก่อน 4.2.2 ซึ่งเป็นปลั๊กอินเชิงพาณิชย์ที่มีฐานผู้ใช้กว้าง ความรุนแรงอยู่ที่การโจมตีไม่ต้องอาศัยการยืนยันตัวตนเลย ผู้โจมตีไม่จำเป็นต้องมีบัญชีใด ๆ บนเว็บไซต์เป้าหมาย เพียงส่งคำร้องเข้าไปยังเอนด์พอยต์ที่เปิดอยู่ก็เพียงพอ

ตัวเลขกว่า 440,000 ครั้งที่ถูกสกัดได้สะท้อนว่าการโจมตีอยู่ในระดับกวาดเป็นวงกว้างแบบอัตโนมัติ ไม่ใช่การเลือกเป้าหมายเฉพาะราย เว็บไซต์ขนาดเล็กที่ไม่มีทีมดูแลจึงมีความเสี่ยงเท่ากับเว็บไซต์ขนาดใหญ่ และตัวเลขนี้เป็นเพียงจำนวนที่ระบบของผู้ให้บริการรายเดียวมองเห็น ไม่ใช่จำนวนการโจมตีทั้งหมดที่เกิดขึ้นจริง เว็บไซต์ที่ไม่ได้ติดตั้งเครื่องมือป้องกันจึงไม่ปรากฏอยู่ในสถิตินี้เลย

สิ่งที่ทำให้ความเสียหายลากยาวคือธรรมชาติของเว็บเชลล์ การติดตั้งแพตช์เพียงอย่างเดียวไม่ได้ลบไฟล์ PHP ที่ถูกอัปโหลดขึ้นไปก่อนหน้า เว็บไซต์ที่ถูกฝังประตูหลังไว้แล้วจะยังคงถูกควบคุมได้ต่อไปแม้อัปเดตปลั๊กอินเป็นเวอร์ชันล่าสุดแล้ว รวมถึงบัญชีผู้ดูแลที่ผู้โจมตีสร้างขึ้นก็ยังคงอยู่ การตอบสนองที่หยุดอยู่แค่การกดอัปเดตจึงเป็นการตอบสนองที่ไม่สมบูรณ์

คำแนะนำ

อัปเดตปลั๊กอิน Super Forms เป็นเวอร์ชัน 6.3.314 หรือใหม่กว่า และ Elementor Pro เป็นเวอร์ชัน 4.2.2 หรือใหม่กว่าทันที เนื่องจากทั้งสองรายการมีการโจมตีจริงเกิดขึ้นแล้วในวงกว้าง

ตรวจค้นเว็บไซต์เพื่อหาร่องรอยการถูกเจาะ โดยเน้นที่ไฟล์ .php ที่ถูกสร้างหรือแก้ไขในช่วงเวลาที่ผิดปกติ ให้ความสำคัญเป็นพิเศษกับไดเรกทอรี “/wp-content/uploads/elementor/forms/” ซึ่งเป็นที่เก็บไฟล์ที่ถูกส่งผ่านฟอร์ม Defiant ระบุว่าการพบไฟล์ PHP ในไดเรกทอรีนี้ถือเป็นตัวบ่งชี้การถูกเจาะที่หนักแน่นในตัวเอง เนื่องจากตามปกติไดเรกทอรีอัปโหลดไม่ควรมีไฟล์ PHP อยู่เลย

ตั้งค่าเว็บเซิร์ฟเวอร์ให้ปฏิเสธการรันไฟล์ PHP ภายในไดเรกทอรีอัปโหลดทั้งหมด ซึ่งเป็นมาตรการที่ตัดผลของช่องโหว่กลุ่มอัปโหลดไฟล์ได้แม้ปลั๊กอินตัวใดตัวหนึ่งจะมีบั๊กในอนาคต

ตรวจสอบรายชื่อบัญชีผู้ใช้ระดับผู้ดูแลระบบทั้งหมด ลบบัญชีที่ไม่รู้จัก เปลี่ยนรหัสผ่านของบัญชีที่เหลือ และเพิกถอนคีย์ของแอปพลิเคชันหรือโทเคนที่ออกไว้ รวมถึงตรวจสอบงานตามเวลาที่ตั้งไว้ในระบบว่ามีรายการแปลกปลอมหรือไม่

เฝ้าระวังบันทึกการเข้าถึงเว็บเซิร์ฟเวอร์สำหรับคำร้อง POST ไปยัง “/wp-admin/admin-ajax.php” ที่มีพารามิเตอร์ “action=super_submit_form” ในช่วงตั้งแต่กลางเดือนกรกฎาคม 2569 เป็นต้นมา และสำหรับคำร้องที่เรียกไฟล์ .php ในไดเรกทอรีอัปโหลดโดยตรง

เว็บไซต์ที่พบว่าถูกเจาะแล้วควรถือว่าถูกยึดทั้งระบบ ให้กู้คืนจากข้อมูลสำรองที่ทำไว้ก่อนวันที่ 14 กรกฎาคม 2569 หากเป็นไปได้ หรือหากทำไม่ได้ ต้องไล่ตรวจไฟล์ในระบบและฐานข้อมูลอย่างละเอียดก่อนนำเว็บไซต์กลับขึ้นให้บริการ

Indicators of Compromise (IoCs)

หมายเหตุ: ที่อยู่ไอพีด้านล่างถูกทำ defang แล้วเพื่อป้องกันการคลิกหรือเชื่อมต่อโดยไม่ตั้งใจ นำไปใช้ต้องเปลี่ยน [.] กลับเป็น . ก่อน

แหล่งอ้างอิง

• Over 440,000 Exploit Attempts Target Super Forms and Elementor Pro RCE Flaws — The Hacker News
• Attackers Actively Exploiting Critical Vulnerability in Super Forms Plugin — Wordfence
• Attackers Actively Exploiting Critical Vulnerability in Elementor Pro Plugin — Wordfence
• Critical Arbitrary File Upload Vulnerability Patched in Elementor Pro WordPress Plugin — Wordfence
• Elementor Pro WordPress Plugin Vulnerability Exploited to Hack Sites — SecurityWeek