แฮ็กเกอร์เริ่มโจมตี WordPress CVE-2026-87902 ภายในไม่กี่ชั่วโมงหลังเปิดเผย — ช่องโหว่ RCE ระดับ 9.2

สรุปสั้น

แฮ็กเกอร์เริ่มลงมือโจมตีช่องโหว่ร้ายแรงใน WordPress ภายในไม่กี่ชั่วโมงหลังจากมีการเปิดเผยต่อสาธารณะ ช่องโหว่ดังกล่าวคือ CVE-2026-87902 (คะแนน CVSS 9.2) ซึ่งเปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันโค้ดจากระยะไกล (RCE) ได้ โดย WordPress อธิบายในคำแนะนำความปลอดภัยว่า ผู้โจมตีที่ไม่ยืนยันตัวสามารถทำให้การเลือก page template ผ่านฟังก์ชัน get_page_template() ไป include ไฟล์ .php ในเครื่องที่อ่านได้และอยู่นอกไดเรกทอรีของ theme ที่ใช้งาน ซึ่งหากเข้าเงื่อนไขทั้งของสภาพแวดล้อมเซิร์ฟเวอร์และ theme ที่ใช้ ก็นำไปสู่ RCE ได้

การใช้ประโยชน์สำเร็จขึ้นอยู่กับสองเงื่อนไข คือ theme แม่หรือลูกที่ใช้งานต้องมีไดเรกทอรีระดับบนสุดที่ชื่อขึ้นต้นด้วย page- (เช่น page-templates) และต้องมีไฟล์ .php เป้าหมายอยู่ในเครื่องที่บัญชีเว็บเซิร์ฟเวอร์อ่านได้ (เช่น pearcmd.php) บริษัท Previdian ระบุว่าเห็นความพยายามโจมตี CVE-2026-87902 บนเครือข่าย honeypot ของตน โดยคำขอที่เป็นอันตรายมาจาก IP ในรัฐนิวเจอร์ซีย์ สหรัฐฯ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 24 กันยายน 2569 ว่า มีการเริ่มใช้ช่องโหว่ CVE-2026-87902 ใน WordPress โจมตีจริงภายในไม่กี่ชั่วโมงหลังเปิดเผยต่อสาธารณะ

คำขอที่เป็นอันตรายที่ Previdian สังเกตพบมี IP ต้นทางอยู่ที่ 104.194.9[.]227 ในรัฐนิวเจอร์ซีย์ โดยคำขอเหล่านั้นระบุไฟล์ PHP ในเครื่องคือ /usr/local/lib/php/pearcmd.php เขียนไฟล์ไปที่ /tmp/ แล้ว include สคริปต์อัปโหลด PHP ที่โฮสต์อยู่บน GitHub นาย Ryan Dewhurst ผู้ก่อตั้งและซีอีโอของ Previdian ระบุว่าแม้นี่จะเป็นช่องโหว่ร้ายแรงอย่างไม่ต้องสงสัย แต่เงื่อนไขบางอย่างทำให้การใช้ประโยชน์เกิดขึ้นได้ยากกว่า และเนื่องจาก WordPress เปิดใช้อัปเดตอัตโนมัติเป็นค่าเริ่มต้น จึงน่าจะเห็นความพยายามโจมตีจำนวนมาก แต่มีการถูกยึดจริงค่อนข้างน้อย

ข้อมูลเทเลเมทรีจาก Previdian บันทึกความพยายามโจมตีรวม 68 ครั้งตั้งแต่วันที่ 23 กันยายน 2569 โดยบางส่วนมาจาก IP ในอินโดนีเซียด้วย ขณะที่บริษัท Patchstack ก็เตือนว่าคำขอที่เป็นอันตรายได้ขยายจากการสำรวจไฟล์แกนหลักที่ไม่เป็นอันตราย ไปสู่การใช้ประโยชน์จริงที่ผู้โจมตี include pearcmd.php แล้วใช้เขียนไฟล์ PHP ลงดิสก์ ซึ่งสอดคล้องกับสิ่งที่ Previdian พบ ความพยายามโจมตีครั้งแรกถูกบันทึกเมื่อวันที่ 22 กันยายน 2569 เวลา 11:49 UTC ซึ่งเป็นวันเดียวกับที่ปล่อยแพตช์ กิจกรรมนี้ยังรวมถึงการเขียนไฟล์ตามใจที่มีเนื้อหา PHP ที่ผู้โจมตีควบคุมในตำแหน่งอย่าง /tmp และ /var/tmp

รายละเอียดช่องโหว่

รากของช่องโหว่อยู่ที่ตรรกะการเลือก page template ผ่าน get_page_template() ที่ยอมให้ผู้โจมตีที่ไม่ยืนยันตัวชี้ไปยังไฟล์ .php ในเครื่องที่อยู่นอกไดเรกทอรีของ theme ที่ใช้งาน เทคนิคที่พบในการโจมตีจริงคือการใช้ไฟล์ pearcmd.php ซึ่งเป็นไฟล์ที่ติดมากับ PEAR ของ PHP ในหลายระบบ เพื่อเขียนไฟล์ PHP ที่ผู้โจมตีควบคุมลงดิสก์ แล้วเรียกใช้เป็นเว็บเชลล์ต่อ การโจมตีจะสำเร็จได้ก็ต่อเมื่อ theme มีไดเรกทอรีชื่อขึ้นต้นด้วย page- และมีไฟล์ .php ที่อ่านได้เป็นเป้าหมายอยู่ในเครื่อง จึงจัดเป็นช่องโหว่ที่ร้ายแรงแต่มีเงื่อนไขประกอบ ทำให้อัตราการยึดสำเร็จจริงต่ำกว่าจำนวนความพยายาม โดยเฉพาะบนไซต์ที่เปิดอัปเดตอัตโนมัติ

ผลกระทบ

WordPress เป็นระบบจัดการเนื้อหาที่ใช้แพร่หลายที่สุดในโลก ช่องโหว่ RCE ที่ไม่ต้องยืนยันตัวตนจึงเป็นเป้าหมายที่ผู้โจมตีเร่งใช้ทันทีที่รายละเอียดออกสู่สาธารณะ ดังที่เห็นจากความพยายามโจมตีที่เริ่มในวันเดียวกับที่ปล่อยแพตช์ แม้เงื่อนไขเรื่อง theme และไฟล์เป้าหมายจะทำให้การยึดสำเร็จจริงมีจำนวนน้อยกว่าความพยายาม แต่ไซต์ที่ไม่ได้อัปเดต ใช้ theme ที่มีโครงสร้างเข้าเงื่อนไข หรือมี pearcmd.php ในเครื่อง ยังคงเสี่ยงถูกฝังเว็บเชลล์และยึดเซิร์ฟเวอร์ ความเร็วของการสแกนแบบหว่านแหจากหลาย IP ทำให้ไซต์ที่แพตช์ช้าตกเป็นเป้าได้ในเวลาอันสั้น

คำแนะนำ

ผู้ดูแลเว็บไซต์ควรอัปเดต WordPress เป็นเวอร์ชัน 7.1.2 (หรือ 7.0.6, 6.9.9, 6.8.10 ตามสายเวอร์ชันที่ใช้) โดยเร็วที่สุด และตรวจสอบร่องรอยกิจกรรมที่เป็นอันตราย โดยเฉพาะไฟล์ PHP แปลกปลอมใน /tmp และ /var/tmp รวมถึงชื่อไฟล์ที่พบในการโจมตี ผู้ที่ยังปิดอัปเดตอัตโนมัติควรเปิดใช้งาน และควรพิจารณาลบหรือจำกัดสิทธิ์การเข้าถึง pearcmd.php บนเซิร์ฟเวอร์ที่ไม่ได้ใช้ PEAR เพื่อตัดไฟล์เป้าหมายที่ผู้โจมตีนิยมใช้

Indicators of Compromise (IoCs)

IP และ URL ถูก defang ไว้ (แทน . ด้วย [.]) เพื่อความปลอดภัย

แหล่งอ้างอิง

• Attackers Exploit WordPress CVE-2026-87902 Within Hours of Disclosure — The Hacker News
• CVE-2026-87902 — Previdian
• CVE-2026-87902: Attackers Started Probing WordPress Sites Hours After the Patch — Patchstack