สรุปสั้น

WordPress 7.1.4 คือ รุ่นแก้ความปลอดภัยที่ออกเมื่อ 28 ตุลาคม 2569 ซึ่งปิดช่องโหว่ 22 ตัว รวมถึงช่องโหว่รันโค้ดจากระยะไกลในขั้นตอนอัปเดตของ WordPress Core ที่ไม่ต้องล็อกอิน (รายละเอียดแพตช์อ่านได้ที่ 2026/10/327 ) ล่าสุดบริษัท Wordfence ผู้ทำปลั๊กอินไฟร์วอลล์ของ WordPress รายงานว่าผู้โจมตีเริ่มไล่ยิงช่องโหว่นี้แทบทันทีหลังแพตช์ออก และบล็อกได้ 62,969 ครั้งภายใน 24 ชั่วโมง ช่องโหว่ได้คะแนน CVSS 8.1 ยังไม่มีเลข CVE และกระทบเวอร์ชัน 4.7 ถึง 7.1.3

ช่องโหว่นี้ใช้ยากเพราะต้องยิงให้ตรงช่วงไม่กี่วินาทีที่ WordPress กำลังแตกไฟล์อัปเดต แต่ผู้โจมตีแก้ปัญหานั้นด้วยความอดทน แหล่งโจมตีใหญ่ 2 แห่งวนเรียกไฟล์ติดตั้งของไซต์กลุ่มเล็ก ๆ ซ้ำต่อเนื่องราว 14.5 ชั่วโมง เพื่อรอจังหวะที่ไซต์กำลังอัปเดต ผู้ดูแลเว็บไซต์ WordPress ควรอัปเดตเป็น 7.1.4 ทันที และตรวจหาคำขอไปยังไฟล์ PHP ใต้ wp-content/upgrade รวมถึงบัญชีผู้ดูแล ปลั๊กอิน หรือไฟล์ PHP ที่ไม่รู้จัก

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 30 ตุลาคม 2569 ว่า Wordfence อธิบายสาเหตุว่ามาจากพาธพักไฟล์ที่เดาได้และเข้าถึงผ่านเว็บ ซึ่งใช้ระหว่างการอัปเดต Core แบบเต็มแพ็กเกจ ทำให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันโค้ดบนเซิร์ฟเวอร์ได้ในช่วงอัปเดต นาย Alex Thomas หัวหน้าทีม Wordfence Threat Response ระบุว่าในห้องทดลองปกติ ช่วงเวลาที่โจมตีได้ยาวเพียงไม่กี่วินาที

ข้อมูลจากการบล็อกของ Wordfence แสดงพฤติกรรมผู้โจมตี 2 แบบ แบบแรก แหล่งโจมตีที่ใหญ่ที่สุด 2 แห่งวนเรียกไซต์กลุ่มเล็กซ้ำ ๆ นานราว 14.5 ชั่วโมง สอดคล้องกับการพยายามดักช่วงอัปเดตสั้น ๆ แบบที่สอง แหล่งอื่นทดสอบพาธของไดเรกทอรีพักไฟล์และชื่อเวอร์ชันหลายรูปแบบ นาย Thomas ระบุว่าแม้ไม่ใช่ทุกคำขอที่ยิงตรงพาธที่มีช่องโหว่ แต่การวนเช็กต่อเนื่องและการลองโครงสร้างไฟล์ตรงเป๊ะแสดงว่าผู้โจมตีเข้าใจ race condition นี้อย่างรวดเร็วและเริ่มเล็งมันแล้ว

ข้อจำกัดของหลักฐาน คือ ตัวเลข 62,969 ครั้งเป็นความพยายามโจมตีที่ Wordfence บล็อกได้ ไม่ใช่จำนวนไซต์ที่ถูกเจาะสำเร็จ และรายงานไม่ได้ยืนยันว่ามีไซต์ใดถูกรันโค้ดจริงแล้ว

รายละเอียดช่องโหว่

สาเหตุ: ตัวติดตั้งค้างในโฟลเดอร์ที่เปิดผ่านเว็บ — เมื่อ WordPress อัปเดต Core แบบเต็มแพ็กเกจ เวอร์ชันที่มีช่องโหว่จะแตกไฟล์ใหม่ลงไดเรกทอรีที่เดาได้ใต้ wp-content/upgrade สำเนานี้รวมตัวติดตั้ง WordPress ไว้ด้วย บนเซิร์ฟเวอร์จำนวนมาก ไดเรกทอรีนี้เข้าถึงผ่านเว็บได้ ผู้โจมตีที่เรียกตัวติดตั้งตรงจังหวะจึงโต้ตอบกับสำเนา WordPress ที่กำลังพักอยู่ และไต่ไปจนรันโค้ด PHP ได้

เงื่อนไขที่ต้องครบ — ผู้โจมตีต้องมี (1) การอัปเดตเต็มแพ็กเกจที่มีไฟล์ตัวติดตั้ง (2) การเข้าถึงไดเรกทอรีพักไฟล์ผ่านเว็บและรัน PHP ได้ (3) พาธพักไฟล์ที่เดาได้หรือค้นพบ และ (4) เวลาพอทำการโจมตีให้เสร็จก่อน WordPress ลบไฟล์ชั่วคราว

ทำไมผู้โจมตียังพยายาม — แม้ช่วงเวลาจะสั้น ผู้โจมตีแก้ด้วยการวนเรียกพาธอย่าง setup-config.php ซ้ำ ๆ ไซต์ที่อัปเดตอัตโนมัติจะผ่านช่วงเสี่ยงนี้ทุกครั้งที่มีรุ่นใหม่ การวนเช็กนาน ๆ จึงเพิ่มโอกาสชนจังหวะได้จริง

ร่องรอยที่ตรวจได้ — คำขอซ้ำ ๆ ไปยังไฟล์ PHP ใต้ wp-content/upgrade โดยเฉพาะ setup-config.php และไฟล์ตัวติดตั้ง จาก IP เดียวกันเป็นเวลานาน รวมถึงบัญชีผู้ดูแล ปลั๊กอิน หรือไฟล์ PHP ที่เพิ่มขึ้นมาโดยไม่มีใครสร้าง

ผลกระทบ

กลุ่มที่เสี่ยงโดยตรง คือ เว็บไซต์ WordPress เวอร์ชัน 4.7 ถึง 7.1.3 ที่ยังไม่ได้อัปเดตเป็น 7.1.4 และรันบนเซิร์ฟเวอร์ที่เปิดให้เข้าถึง wp-content/upgrade ผ่านเว็บ WordPress ขับเคลื่อนเว็บไซต์สัดส่วนใหญ่ของอินเทอร์เน็ต ช่วงที่ไซต์ทั่วโลกกำลังอัปเดตพร้อมกันจึงเป็นช่วงที่ผู้โจมตีมีโอกาสมากที่สุด

ผลลัพธ์หากสำเร็จ คือ ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ ซึ่งนำไปสู่การฝัง web shell สร้างบัญชีผู้ดูแลแอบแฝง แก้เนื้อหาเว็บ หรือใช้เป็นฐานโจมตีต่อ ความเร่งด่วนสูงเพราะการโจมตีเริ่มแล้วภายในวันเดียวหลังแพตช์

คำแนะนำ

  • อัปเดต WordPress เป็น 7.1.4 ทันที หากเป็นไปได้ให้อัปเดตในช่วงที่ไซต์อยู่หลังไฟร์วอลล์เว็บแอปพลิเคชันที่มีกฎป้องกันช่องโหว่นี้
  • บล็อกการรัน PHP และการเข้าถึงผ่านเว็บของ wp-content/upgrade ด้วยการตั้งค่าเว็บเซิร์ฟเวอร์ (เช่น deny ใน Nginx หรือ .htaccess ใน Apache) เพื่อตัดเงื่อนไขข้อ 2
  • ตรวจล็อกเว็บย้อนหลังหาคำขอไปยังไฟล์ PHP ใต้ wp-content/upgrade และ setup-config.php จาก IP เดียวกันจำนวนมาก
  • ตรวจบัญชีผู้ดูแล ปลั๊กอิน และไฟล์ PHP ที่ไม่รู้จัก โดยเฉพาะที่ถูกสร้างหลัง 28 ตุลาคม 2569 หากพบให้ถือว่าไซต์ถูกเจาะ เปลี่ยนรหัสผ่านทั้งหมดและกู้จากแบ็กอัปที่สะอาด

แหล่งอ้างอิง