ศูนย์ประสานการรักษาความมั่นคงปลอดภัยไซเบอร์ ด้านความมั่นคงของรัฐฝ่ายพลเรือน

Cms

ภาพรวมแท็กนี้

5 ข่าว

ช่องโหว่ RCE ในขั้นตอนอัปเดต WordPress ถูกไล่ยิงเกือบ 63,000 ครั้งใน 24 ชั่วโมงหลังแพตช์ 7.1.4 — ผู้โจมตีวนเช็กไซต์ต่อเนื่อง 14.5 ชั่วโมงเพื่อดักจังหวะไม่กี่วินาที

Attackers repeatedly polling a WordPress upgrade staging folder during a core update
Wordfence บล็อกการโจมตีช่องโหว่ RCE ใน WordPress Core ได้ 62,969 ครั้งภายใน 24 ชั่วโมงหลังแพตช์ออกเมื่อ 28 ตุลาคม 2569 ช่องโหว่คะแนน CVSS 8.1 ยังไม่มี CVE กระทบเวอร์ชัน 4.7 ถึง 7.1.3 สาเหตุ คือ ขั้นตอนอัปเดตเต็มแพ็กเกจแตกไฟล์รวมตัวติดตั้งไว้ใต้ wp-content/upgrade ที่เดาได้และเปิดผ่านเว็บ ผู้โจมตีที่ยิงตรงจังหวะไม่กี่วินาทีจึงรันโค้ดได้โดยไม่ต้องล็อกอิน แหล่งโจมตีใหญ่ 2 แห่งวนเช็กไซต์กลุ่มเล็กนาน 14.5 ชั่วโมง ผู้ดูแลควรอัปเดตเป็น 7.1.4 และตรวจไฟล์ PHP กับบัญชีผู้ดูแลที่ไม่รู้จัก
ที่มา: The Hacker News
อ่านต่อ →

WordPress 7.1.4 แก้ 22 ช่องโหว่ รวม RCE ไม่ต้องล็อกอินในขั้นตอนอัปเดต — ผู้โจมตีแย่งรันตัวติดตั้งที่แตกค้างใน wp-content/upgrade/ ช่วงไม่กี่วินาที

WordPress 7.1.4 fixes 22 security flaws including an unauthenticated RCE
WordPress ออกเวอร์ชัน 7.1.4 เมื่อ 28 ตุลาคม แก้ช่องโหว่ 22 ตัวใน 17 ประกาศ ตัวร้ายแรงที่สุดเป็น race condition ในขั้นตอนอัปเดตที่เปิดให้ผู้โจมตีไม่ต้องล็อกอินรันตัวติดตั้ง WordPress ที่แตกค้างใน wp-content/upgrade/ ด้วยฐานข้อมูลของตัวเองจนรันโค้ดได้ ส่วนที่เหลือเป็น stored XSS ใน Interactivity API และ block markup และสิทธิ์เข้าถึงผิดพลาด Patchstack ประเมินว่า RCE ใช้จริงยากเพราะมีช่วงเวลาเพียงไม่กี่วินาที ผู้ดูแลควรอัปเดตทันที บล็อก wp-content/upgrade/ และทบทวนบัญชีระดับ Contributor ขึ้นไป
ที่มา: Cyber Security News
อ่านต่อ →

Drupal แพตช์ช่องโหว่ร้ายแรง CVE-2026-108097 ใน Field UI ของ core ที่เปิดทางรันโค้ดบนเซิร์ฟเวอร์ผ่านโมดูลเสริม บางเส้นทางไม่ต้องล็อกอิน เว็บไซต์ราว 28.5% ยังอยู่บนเวอร์ชันที่ไม่มีแพตช์

Drupal patches critical Field UI flaw with remote code execution path
Drupal ออกแพตช์ CVE-2026-108097 ช่องโหว่ระดับ critical ในโมดูล Field UI ของ core ที่อาจทำให้ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ได้ แก้แล้วในเวอร์ชัน 11.4.10, 11.3.19 และ 10.6.19 ช่องโหว่นี้เข้าถึงผ่าน core อย่างเดียวไม่ได้ ต้องอาศัยโมดูลเสริม และมีอย่างน้อยหนึ่งเส้นทางที่ไม่ต้องล็อกอิน เว็บไซต์ราว 151,000 แห่งหรือ 28.5% ยังอยู่บนเวอร์ชันที่หมดอายุและไม่มีแพตช์ เว็บไซต์ที่ยังอัปเดตไม่ได้ให้ถอนโมดูล field_ui ออกชั่วคราว
ที่มา: The Hacker News
อ่านต่อ →

ออสเตรเลียเตือนแคมเปญโจมตีทั่วโลกเล็งเป้าแพลตฟอร์ม CMS ที่มีช่องโหว่ — ฝัง Webshell ยึดเว็บไซต์ธุรกิจ

ACSC warns of global campaign deploying webshells on vulnerable CMS platforms and plugins
ศูนย์ความมั่นคงไซเบอร์ออสเตรเลีย (ACSC) ออกประกาศเตือนแคมเปญโจมตีระดับโลกที่มุ่งเป้าระบบจัดการเนื้อหา (CMS) และปลั๊กอินที่มีช่องโหว่ ระบุว่าธุรกิจขนาดเล็กถึงกลางในออสเตรเลียจำนวนมากถูกโจมตีแล้ว โดยผู้โจมตีสแกนหาเว็บไซต์เพื่อฝัง Webshell ที่เปิดทางเข้าถึงระบบอย่างต่อเนื่อง ขโมยข้อมูลล็อกอิน และเคลื่อนตัวลึกเข้าเครือข่าย ช่องโหว่ครอบคลุมทั้ง WordPress, Craft CMS, Joomla JCE และปลั๊กอินยอดนิยมหลายตัว ACSC ยังเตือนว่าแคมเปญนี้อาจมี AI ช่วยเร่งการโจมตี
ที่มา: BleepingComputer
อ่านต่อ →

Drupal ออกแพตช์ฉุกเฉินวันนี้ — ช่องโหว่ Highly Critical ไม่ต้อง Login ก็เข้าถึงข้อมูลทั้งหมดได้

Drupal highly critical security release May 2026
Drupal ประกาศออกแพตช์ความปลอดภัยฉุกเฉินสำหรับทุกเวอร์ชันที่รองรับในวันที่ 20 พฤษภาคม 2569 เพื่อแก้ไขช่องโหว่ระดับ Highly Critical ที่ได้คะแนน NIST 20 จาก 25 ช่องโหว่นี้ไม่ต้องยืนยันตัวตนก็สามารถเข้าถึงข้อมูลทั้งหมดบนเว็บไซต์ แก้ไข หรือลบข้อมูลได้ ทีมความปลอดภัยเตือนว่า exploit อาจถูกสร้างขึ้นภายในไม่กี่ชั่วโมงหลังเปิดเผยรายละเอียด
ที่มา: The Hacker News
อ่านต่อ →