สรุปสั้น

CryptoPayment Gateway คือ ปลั๊กอิน WordPress สำหรับรับชำระเงินด้วยคริปโตบนร้านค้าออนไลน์ ปลั๊กอินนี้ถูกปิดจากคลังปลั๊กอินของ WordPress ตั้งแต่วันที่ 28 สิงหาคม 2569 ด้วยเหตุผลด้าน “ปัญหาความปลอดภัย” ที่ไม่ได้ระบุ ล่าสุดบริษัท Defused Cyber ซึ่งเก็บข้อมูลการโจมตีจาก honeypot รายงานเมื่อต้นเดือนพฤศจิกายน 2569 ว่าพบความพยายามโจมตีจริงต่อ CVE-2026-81648 ช่องโหว่คะแนน CVSS 10.0 เต็มในปลั๊กอินเวอร์ชัน 1.2.1 ถึง 1.2.2 ซึ่งเป็นเวอร์ชันล่าสุด ต้นเหตุ คือ AJAX endpoint หนึ่งไม่ตรวจสิทธิ์ผู้เรียก ผู้ที่ไม่ได้ล็อกอินจึงสั่งงานระดับผู้ดูแลได้ ทั้งลบไฟล์ใดก็ได้บนเซิร์ฟเวอร์ เขียนทับค่าตั้งเกตเวย์ชำระเงิน และดึง credential ของกระเป๋าคริปโตที่เก็บไว้ออกมาเป็นข้อความล้วน

ช่องโหว่นี้ยังไม่มีแพตช์ และผู้พัฒนาไม่มีเวอร์ชันใหม่ให้อัปเดต ขนาดของปัญหายังไม่ชัด เพราะยอดดาวน์โหลดรวมมีเพียง 1,845 ครั้ง และไม่มีข้อมูลว่ามีเว็บไซต์ใช้งานอยู่จริงกี่แห่ง แต่สำหรับร้านที่ยังใช้อยู่ ความเสียหายตรงไปที่เงิน คือ ผู้โจมตีอาจได้คีย์กระเป๋า หรือแก้ค่าตั้งให้เงินของลูกค้าไหลเข้ากระเป๋าตัวเอง เจ้าของเว็บควรถอดปลั๊กอินทันที หมุนคีย์กระเป๋าทั้งหมด และตรวจหาการเปลี่ยนแปลงที่ไม่ได้ทำเอง

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 3 พฤศจิกายน 2569 ว่า Defused Cyber โพสต์บน X ว่ากำลังเห็นความพยายามโจมตี CVE-2026-81648 ในโลกจริง และการโจมตีที่บันทึกได้มาจากโครงสร้างพื้นฐานที่โฆษณาตัวเองว่าเป็นบริการ “VPS นิรนามไม่ต้องยืนยันตัวตน (KYC-Free)” ซึ่งเป็นบริการที่ผู้โจมตีนิยมใช้เพราะตามตัวยาก คำอธิบายในฐานข้อมูลช่องโหว่ NVD ของ NIST ระบุว่าปลั๊กอินเวอร์ชัน 1.2.1 ถึง 1.2.2 ไม่ตรวจสิทธิ์ที่ AJAX endpoint หนึ่ง ส่วน WPScan ยืนยันว่ายังไม่มีการแก้ไข สถิติบนคลังปลั๊กอินแสดงยอดดาวน์โหลดรวม 1,845 ครั้ง ในจำนวนนี้ 20 ครั้งเกิดใน 7 วันล่าสุด แม้ปลั๊กอินถูกปิดไปแล้ว

ข้อจำกัดของข้อมูลมี 3 ข้อ ข้อแรก Defused Cyber รายงาน “ความพยายาม” โจมตีจาก honeypot ยังไม่มีรายงานเว็บไซต์ที่ถูกเจาะสำเร็จหรือเงินที่ถูกขโมย ข้อสอง ยอดดาวน์โหลดไม่เท่ากับจำนวนเว็บไซต์ที่ติดตั้งอยู่ และ The Hacker News ระบุว่ายังไม่ชัดว่ามีเว็บไซต์ใช้งานจริงหรือไม่ ข้อสาม ยังไม่มีข้อมูลว่าเหตุที่ WordPress ปิดปลั๊กอินเมื่อเดือนสิงหาคมเป็นช่องโหว่ตัวเดียวกันนี้หรือไม่

รายละเอียดช่องโหว่

ต้นเหตุ คือ endpoint ที่ลืมตรวจสิทธิ์ — WordPress ใช้กลไก AJAX ให้ปลั๊กอินเปิดฟังก์ชันให้หน้าเว็บเรียกผ่าน admin-ajax.php ปลั๊กอินที่ดีต้องตรวจว่าผู้เรียกล็อกอินและมีสิทธิ์ผู้ดูแลก่อนทำงานที่อ่อนไหว CryptoPayment Gateway ไม่ตรวจที่ endpoint หนึ่ง (ช่องโหว่ประเภท broken access control) ใครก็ส่งคำขอเรียกงานระดับผู้ดูแลได้

ผลลัพธ์ 3 อย่างที่ผู้โจมตีได้ — อย่างแรก คือ ลบไฟล์ใดก็ได้บนเซิร์ฟเวอร์ ซึ่งในปลั๊กอิน WordPress หลายตัวเคยถูกใช้ลบไฟล์ wp-config.php เพื่อบังคับให้เว็บเข้าหน้าติดตั้งใหม่แล้วยึดเว็บ อย่างที่สอง คือ เขียนทับค่าตั้งเกตเวย์ชำระเงิน เช่น เปลี่ยนที่อยู่กระเป๋ารับเงิน อย่างที่สาม คือ ดึง credential ของกระเป๋าคริปโตที่ปลั๊กอินเก็บไว้ออกมาเป็นข้อความล้วน เพราะปลั๊กอินไม่ได้เข้ารหัสไว้

ไม่ต้องมีเงื่อนไขพิเศษ — ผู้โจมตีไม่ต้องล็อกอินและไม่ต้องให้ผู้ใช้ทำอะไร จึงได้คะแนน CVSS 10.0 เวอร์ชันที่กระทบ คือ 1.2.1 ถึง 1.2.2 ซึ่งเป็นเวอร์ชันสุดท้าย และไม่มีเวอร์ชันที่แก้แล้ว

ผลกระทบ

กลุ่มที่โดนตรง คือ ร้านค้าออนไลน์บน WordPress ที่ติดตั้ง CryptoPayment Gateway ไว้ก่อนปลั๊กอินถูกปิด และยังไม่ได้ถอดออก ถ้าถูกโจมตีสำเร็จ ความเสียหายมี 2 ทาง ทางแรก คือ เงินในกระเป๋าคริปโตของร้านถูกขโมยด้วย credential ที่หลุด ทางที่สอง คือ เงินจากลูกค้าที่จ่ายหลังจากนั้นไหลเข้ากระเป๋าของผู้โจมตี เพราะค่าตั้งเกตเวย์ถูกแก้ โดยร้านอาจไม่รู้ตัวจนกว่าจะตรวจยอด การลบไฟล์ยังอาจทำให้เว็บล่มหรือถูกยึดทั้งเว็บ

จำนวนเหยื่อที่เป็นไปได้น่าจะไม่มาก แต่ข่าวนี้สะท้อนปัญหาที่ใหญ่กว่า คือ ปลั๊กอินที่ถูกปิดจากคลังจะไม่มีระบบแจ้งเตือนอัปเดตอีกต่อไป เจ้าของเว็บที่ติดตั้งไว้แล้วจึงอาจไม่รู้เลยว่ากำลังใช้ซอฟต์แวร์ที่มีช่องโหว่ร้ายแรงและไม่มีใครดูแล

คำแนะนำ

  • ทำทันที: ถอนการติดตั้งและลบโฟลเดอร์ปลั๊กอิน CryptoPayment Gateway ออกจากเซิร์ฟเวอร์ เพราะไม่มีแพตช์ให้รอ และการลบออกจากเซิร์ฟเวอร์ปลอดภัยกว่าการปิดใช้งาน (deactivate) ไว้เฉย ๆ
  • ทำทันที: ย้ายเงินไปกระเป๋าใหม่และหมุนคีย์หรือ credential ของกระเป๋าที่เคยตั้งไว้ในปลั๊กอินทั้งหมด โดยถือว่าคีย์เดิมรั่วแล้ว
  • ตรวจว่าโดนแล้วหรือยัง: ค้นล็อกเว็บเซิร์ฟเวอร์หาคำขอไปยัง admin-ajax.php ที่เรียก action ของปลั๊กอินนี้จากผู้ที่ไม่ได้ล็อกอิน และตรวจว่าที่อยู่กระเป๋ารับเงินในค่าตั้งถูกเปลี่ยนหรือไม่
  • ถ้าโดนแล้ว: ตรวจไฟล์สำคัญ เช่น wp-config.php และบัญชีผู้ดูแลที่ถูกเพิ่มใหม่ แล้วเปลี่ยนรหัสผ่านฐานข้อมูลและบัญชีผู้ดูแลทั้งหมด
  • ระยะยาว: ตรวจรายชื่อปลั๊กอินที่ติดตั้งเทียบกับคลังของ WordPress เป็นระยะ ปลั๊กอินที่ถูกปิดหรือเลิกพัฒนาแล้วควรถอดออก

แหล่งอ้างอิง