สรุปสั้น

แฮ็กเกอร์กำลังใช้ช่องโหว่ด้านความปลอดภัยระดับร้ายแรงในปลั๊กอิน WooCommerce Wholesale Lead Capture ซึ่งเป็นปลั๊กอินแบบพรีเมียมของ WordPress ที่มีการติดตั้งใช้งานอยู่มากกว่า 6,000 แห่ง บริษัท Wordfence ระบุว่าช่องโหว่นี้เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ตามอำเภอใจ รวมถึงแบ็กดอร์ PHP และรันโค้ดจากระยะไกลได้ ช่องโหว่มีรหัส CVE-2026-27540 คะแนน CVSS 9.8 โดยบริษัทได้บล็อกความพยายามโจมตีไปแล้วกว่า 100,000 ครั้งนับตั้งแต่เดือนมิถุนายน 2569 และมี 99 ครั้งในช่วง 24 ชั่วโมงที่ผ่านมา

ต้นตอของปัญหาคือการอัปโหลดไฟล์ตามอำเภอใจ เนื่องจากขาดการตรวจสอบชนิดไฟล์ในฟังก์ชัน AJAX ชื่อ “wwlc_file_upload_handler” ซึ่งกระทบทุกเวอร์ชันของปลั๊กอินจนถึงและรวมถึงเวอร์ชัน 2.0.3.1 เปิดช่องให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ใด ๆ ลงบนเซิร์ฟเวอร์ของเว็บไซต์ที่ได้รับผลกระทบ อันเป็นการปูทางสู่การรันโค้ดจากระยะไกล

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานอ้างข้อมูลของบริษัท Wordfence เมื่อวันที่ 16 กันยายน 2569 ว่า ในการโจมตีที่สังเกตพบ ผู้โจมตีได้ส่งคำขอที่ปรุงแต่งขึ้นไปยังฟังก์ชัน AJAX “wwlc_file_upload_handler” พร้อมพารามิเตอร์ file_settings ที่ถูกปลอมแปลงและไฟล์ PHP อันตราย (“shell.php”) ไฟล์ PHP ที่อัปโหลดขึ้นไปเป็น web shell ที่รายงานรายละเอียดของโฮสต์และมีฟอร์มอัปโหลดผ่านเบราว์เซอร์สำหรับเขียนไฟล์อันตรายเพิ่มเติมลงบนเว็บไซต์ WordPress ที่ถูกเจาะ โดยการโจมตีมาจากที่อยู่ IP หลายรายการที่ Wordfence ได้เผยแพร่ไว้

เจ้าของเว็บไซต์ WordPress ควรตรวจหาไฟล์ .php ที่ไม่คาดคิดหรือถูกสร้างขึ้นใหม่ โดยเฉพาะในไดเรกทอรี uploads และตรวจสอบคำขอที่น่าสงสัยไปยัง “/wp-admin/admin-ajax.php” ที่มีพารามิเตอร์ action ตั้งเป็น “wwlc_file_upload_handler” จากที่อยู่ IP ข้างต้น นอกจากนี้ Wordfence ยังเปิดเผยช่องโหว่ร้ายแรงอีกสองรายการที่กระทบปลั๊กอิน The Events Calendar ซึ่งติดตั้งบนเว็บไซต์กว่า 600,000 แห่ง แต่การใช้ช่องโหว่สำเร็จต้องอาศัยเงื่อนไขว่าหน้าอีเวนต์เป้าหมายเปิดให้แสดงความคิดเห็นและเปิดตัวเลือก “Show comments on event pages” ไว้

วิธีการโจมตี

ช่องโหว่ CVE-2026-27540 ในปลั๊กอิน WooCommerce Wholesale Lead Capture มาจากการที่ฟังก์ชัน AJAX “wwlc_file_upload_handler” ไม่ตรวจสอบชนิดไฟล์ที่อัปโหลด ผู้โจมตีจึงส่งคำขอที่ปรุงแต่งพร้อมพารามิเตอร์ file_settings ปลอมและไฟล์ shell.php ขึ้นไป เมื่อไฟล์ถูกวางบนเซิร์ฟเวอร์ ก็กลายเป็น web shell ที่ให้ผู้โจมตีดูรายละเอียดโฮสต์และอัปโหลดไฟล์อันตรายเพิ่มผ่านฟอร์มในเบราว์เซอร์ นำไปสู่การรันโค้ดจากระยะไกลบนเว็บไซต์

ส่วนช่องโหว่สองรายการใน The Events Calendar เริ่มต้นที่ไปป์ไลน์การเรนเดอร์วิดเจ็ตของปลั๊กอินเหมือนกัน และนำไปสู่การรันโค้ดจากระยะไกลโดยไม่ต้องยืนยันตัวตนผ่านสองวิธีแยกกัน CVE-2026-78159 (CVSS 9.8) เกิดจากการตรวจสอบแมป ‘classes’ ของวิดเจ็ตไม่เพียงพอในฟังก์ชัน “parse_array” (กระทบเวอร์ชัน <= 6.17.3) ส่วน CVE-2026-78006 (CVSS 9.8) เกิดจากการป้องกันไม่เพียงพอในฟังก์ชัน “is_safe_widget_instance” (กระทบเวอร์ชัน <= 6.17.4) โดย Wordfence อธิบายว่าห่วงโซ่แรกใช้ PHP Object Injection รันคำสั่งระบบปฏิบัติการตามอำเภอใจ ส่วนห่วงโซ่ที่สองข้ามการป้องกัน object injection แล้วใช้ arbitrary-callable primitive รีเซ็ตรหัสผ่านผู้ดูแลระบบ จากนั้นอัปโหลดปลั๊กอินอันตรายเพื่อยึดเว็บไซต์ ที่น่ากังวลคือทั้งสองห่วงโซ่สามารถจุดชนวนผ่านการพรีวิวความคิดเห็นที่ยังไม่อนุมัติของ WordPress โดยไม่ต้องผ่านผู้ดูแล

ผลกระทบ

ผู้ที่ได้รับผลกระทบคือเจ้าของเว็บไซต์ WordPress ที่ใช้ปลั๊กอินเหล่านี้ โดยเฉพาะร้านค้าออนไลน์ที่ใช้ WooCommerce ร่วมกับ Wholesale Lead Capture การที่ผู้โจมตีไม่ต้องยืนยันตัวตนก็อัปโหลด web shell ได้ หมายความว่าเว็บไซต์ใดที่รันเวอร์ชันที่มีช่องโหว่และเปิดสู่อินเทอร์เน็ตล้วนตกเป็นเป้าที่โจมตีได้ทันที เมื่อได้ web shell แล้ว ผู้โจมตีสามารถควบคุมเว็บไซต์อย่างสมบูรณ์ ขโมยข้อมูลอ่อนไหว วางมัลแวร์ หรือใช้เว็บไซต์เป็นฐานโจมตีต่อ ยอดการบล็อกกว่า 100,000 ครั้งตั้งแต่มิถุนายนบ่งชี้ว่านี่เป็นการโจมตีที่ดำเนินอยู่จริงและมีปริมาณสูง ส่วนช่องโหว่ใน The Events Calendar ที่ติดตั้งกว่า 600,000 แห่งก็อาจนำไปสู่การยึดเว็บไซต์ ขโมยข้อมูล และปล่อยมัลแวร์ได้เช่นกันหากตรงตามเงื่อนไขการเปิดคอมเมนต์

คำแนะนำ

เจ้าของเว็บไซต์ที่ใช้ WooCommerce Wholesale Lead Capture ควรอัปเดตปลั๊กอินให้พ้นเวอร์ชัน 2.0.3.1 โดยเร็ว และตรวจหาไฟล์ .php ที่ไม่คาดคิดหรือเพิ่งถูกสร้างขึ้น โดยเฉพาะในไดเรกทอรี uploads พร้อมทั้งตรวจสอบล็อกคำขอที่ส่งไปยัง “/wp-admin/admin-ajax.php” ด้วยพารามิเตอร์ action เป็น “wwlc_file_upload_handler” จากที่อยู่ IP ที่ Wordfence เผยแพร่ ส่วนผู้ที่ใช้ The Events Calendar ควรอัปเดตเป็นเวอร์ชัน 6.17.3.1 และ 6.17.4.1 ที่ StellarWP ออกมาแก้ไข หากยังอัปเดตไม่ได้ทันที ควรพิจารณาปิดการแสดงความคิดเห็นบนหน้าอีเวนต์เป็นการชั่วคราวเพื่อลดพื้นผิวการโจมตี

Indicators of Compromise (IoCs)

หมายเหตุ: ที่อยู่ IP ด้านล่างคือแหล่งโจมตีที่ Wordfence เผยแพร่

ประเภทอินดิเคเตอร์
IP ผู้โจมตี92.241.13.213, 92.241.13.140, 31.59.129.150, 23.137.105.214, 23.180.120.140, 104.194.9.138, 187.75.114.36, 114.10.43.203, 37.114.144.209, 2a0f:85c1:840:5389::1
ไฟล์shell.php (web shell ที่อัปโหลดผ่าน wwlc_file_upload_handler)

แหล่งอ้างอิง