Php

นักวิจัยบริษัท Sucuri เปิดโปงแบ็กดอร์ WordPress ชื่อ SC ที่ออกแบบเป็น ‘โครงข่ายซ่อมแซมตัวเอง’ ฝังเพย์โหลดไว้อย่างน้อย 8 จุดพร้อมกันทั้งในไฟล์ ฐานข้อมูล และหน่วยความจำร่วม โดยแต่ละจุดสามารถสร้างจุดอื่นขึ้นใหม่ได้ ลบปลั๊กอินก็ถูก drop-in เขียนกลับ ล้างไฟล์ทั้งดิสก์ก็ถูกกู้จากฐานข้อมูลในการโหลดหน้าถัดไป มัลแวร์สั่งงานผ่านบล็อกเชน Ethereum สร้างบัญชีแอดมินซ่อน และฉีดสคริปต์ใส่ผู้เข้าชม พร้อมกันนี้ช่องโหว่ SQL injection ใน wpForo (CVE-2026-1581) ก็ถูกใช้โจมตีจริงแล้ว

ช่องโหว่ CVE-2026-48842 (CVSS 8.1) ใน Roundcube Webmail ที่แพตช์ไปตั้งแต่พฤษภาคม 2026 ถูกใช้โจมตีจริงแล้ว โดย Canadian Centre for Cyber Security ออกเตือนเมื่อ 21 กันยายน จุดบกพร่องอยู่ในปลั๊กอิน virtuser_query เป็น pre-authentication SQL injection ที่ผู้โจมตีไม่ต้องมีบัญชีหรืออาศัยการโต้ตอบจากผู้ใช้ก็เข้าถึงฐานข้อมูลได้ กระทบ Roundcube 1.6.x ก่อน 1.6.16 และ 1.7.x ก่อน 1.7.1 เสี่ยงเปิดเผย credential และข้อความในกล่องเมล

แฮ็กเกอร์เริ่มโจมตีช่องโหว่ร้ายแรงใน WordPress CVE-2026-87902 (CVSS 9.2) ภายในไม่กี่ชั่วโมงหลังเปิดเผยต่อสาธารณะ. ช่องโหว่เปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันโค้ดจากระยะไกล ผ่าน get_page_template() ที่ include ไฟล์ .php นอก theme ได้. การใช้ประโยชน์ต้องเข้าเงื่อนไขสองข้อเกี่ยวกับ theme และไฟล์เป้าหมาย. Previdian บันทึกความพยายามโจมตี 68 ครั้งตั้งแต่ 23 กันยายน. แนะนำอัปเดตเป็น WordPress 7.1.2 หรือเวอร์ชันที่แก้แล้วทันที.

บริษัท Wordfence เตือนว่าแฮ็กเกอร์กำลังใช้ช่องโหว่ร้ายแรงในปลั๊กอิน WooCommerce Wholesale Lead Capture ของ WordPress (CVE-2026-27540 คะแนน CVSS 9.8) ที่มีการติดตั้งใช้งานกว่า 6,000 แห่ง ช่องโหว่เกิดจากการไม่ตรวจสอบชนิดไฟล์ ทำให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ PHP ฝัง web shell และรันโค้ดจากระยะไกลได้ Wordfence บล็อกการโจมตีไปแล้วกว่า 100,000 ครั้งตั้งแต่มิถุนายน พร้อมเตือนช่องโหว่ร้ายแรงอีกสองรายการในปลั๊กอิน The Events Calendar

บริษัท Sophos เผยว่ามัลแวร์ที่โยงกับการเจาะอุปกรณ์ F5 BIG-IP APM ซ่อนเว็บเชลล์ PHP ไว้ในหน่วยความจำแทนไฟล์บนดิสก์ เมื่อ Apache โหลดสคริปต์ .php3 สามตัวของอุปกรณ์ มัลแวร์จะเติมเว็บเชลล์ลงในสำเนาที่อยู่ในหน่วยความจำ การตรวจไฟล์จึงกลับมาสะอาด มัลแวร์ฝังตัวในโปรแกรม Apache เอง แล้วดักฟังก์ชัน apr_dso_load รอจนกว่าโมดูล PHP จะถูกโหลด ต้นทางเชื่อมโยงกับ CVE-2025-53521 ที่ F5 เปลี่ยนการจัดประเภทเป็น RCE เมื่อเดือนมีนาคม 2569

Adobe ออกแพตช์ฉุกเฉินปิดช่องโหว่ CVE-2026-75650 คะแนน CVSS 10.0 ใน Adobe Commerce และ Magento Open Source ที่ถูกใช้โจมตีจริงมาตั้งแต่วันที่ 4 กันยายน 2569 ช่องโหว่ที่ชื่อ StyleSmuggler ฉวยระบบเทมเพลตของ Magento inject โค้ด PHP ผ่านอีเมลแจ้งเตือนการชำระเงินล้มเหลวจนรันโค้ดได้โดยไม่ต้องล็อกอิน ผู้โจมตีใช้ช่องนี้ฝังแบ็กดอร์ที่เขียนด้วย Rust และเว็บเชลล์ PHP CISA เพิ่มช่องโหว่เข้าแคตตาล็อก KEV พร้อมกำหนดเส้นตายให้หน่วยงานกลางสหรัฐแก้ไข

บริษัท Sansec เปิดเผยช่องโหว่ zero-day ชื่อ StyleSmuggler ใน Magento Open Source และ Adobe Commerce ที่ยังไม่มีแพตช์และถูกใช้โจมตีจริงตั้งแต่วันที่ 4 กันยายน 2569 ผู้โจมตีรันโค้ดบนเซิร์ฟเวอร์ร้านค้าได้โดยไม่ต้องล็อกอิน แล้วฝังแบ็กดอร์ที่ปลอมชื่อเป็นเธรดของเคอร์เนลลินุกซ์ Adobe ยังไม่ออกประกาศเตือน ไม่มีเลข CVE และไม่มีวิธีแก้อย่างเป็นทางการ คำแนะนำชั่วคราวคือปิด GraphQL ไว้ก่อน

CERT/CC เปิดเผยช่องโหว่สองรายการในไลบรารีเครื่องเล่นวิดีโอ HTML5 ของ Kaltura ที่เปิดทางให้ผู้โจมตีจากระยะไกลอ่านไฟล์บนเซิร์ฟเวอร์และรันโค้ดได้โดยไม่ต้องยืนยันตัวตน ทั้งคู่มีต้นเหตุจากการ deserialize ที่ไม่ปลอดภัยในจุดเดียวกัน ยังไม่มีแพตช์ออกมา และ CERT/CC ระบุว่าติดต่อผู้ผลิตเพื่อประสานงานไม่ได้ ที่หนักกว่านั้นคือปลายทางที่มีปัญหายังเปิดอยู่บนโครงสร้าง CDN แบบใช้ร่วมกันของ Kaltura เอง

บริษัท Wordfence เปิดเผยช่องโหว่ CVE-2026-15748 (CVSS 9.8) ในปลั๊กอิน Forminator Forms ของ WordPress ที่มีการติดตั้งใช้งานกว่า 600,000 แห่ง เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ตามอำเภอใจรวมถึงไฟล์ PHP จนรันโค้ดและยึดเว็บได้ทั้งไซต์ เงื่อนไขคือฟอร์มต้องมีทั้งฟิลด์ File Upload และฟิลด์ Select กระทบทุกเวอร์ชันถึง 1.56.1 และแก้แล้วใน 1.56.2 ที่ออกเมื่อ 31 กรกฎาคม 2569 พร้อมกันนั้น Wordfence ยังเปิดเผย CVE-2026-15826 ในปลั๊กอิน User Profile Builder ที่เปิดทางล็อกอินเป็นผู้ดูแลระบบ

WordPress ออกแพตช์ปิดช่องโหว่ reflected XSS บนหน้าล็อกอินที่ใช้ได้โดยไม่ต้องยืนยันตัวตน กระทบทุกเวอร์ชันของระบบจัดการเนื้อหานี้ ติดตามในรหัส CVE-2026-64638 คะแนน CVSS 8.9 โดยทีม pwn.ai สาธิตว่าสามารถต่อยอดเป็นการรันโค้ด PHP บนเซิร์ฟเวอร์ได้เมื่อผู้ดูแลระบบที่ล็อกอินอยู่คลิกหน้าเว็บที่ผู้โจมตีควบคุมเพียงครั้งเดียว แพตช์ออกแล้วในเวอร์ชัน 7.0.3 เมื่อวันที่ 6 สิงหาคม พร้อมย้อนแพตช์ถึงสาย 4.7