ศูนย์ประสานการรักษาความมั่นคงปลอดภัยไซเบอร์ ด้านความมั่นคงของรัฐฝ่ายพลเรือน

Woocommerce

ภาพรวมแท็กนี้

3 ข่าว

แฮ็กเกอร์เริ่มโจมตีจริง ช่องโหว่ CVSS 10.0 ในปลั๊กอิน WordPress Bricksforge (CVE-2026-85097) — อัปโหลดไฟล์ PHP รันโค้ดได้โดยไม่ต้องล็อกอิน

Attackers exploit critical Bricksforge WordPress plugin flaw for unauthenticated RCE
Patchstack ตรวจพบการโจมตีจริงต่อช่องโหว่ CVE-2026-85097 คะแนน CVSS 10.0 ในปลั๊กอิน WordPress Bricksforge ตั้งแต่ 7 ตุลาคม 2569 ผู้โจมตีไม่ต้องล็อกอินก็อัปโหลดไฟล์ภาพที่ซ่อนโค้ด PHP แล้วสั่งให้ปลั๊กอินวางเป็นไฟล์ .php จนรันโค้ดบนเซิร์ฟเวอร์ได้ พบการโจมตีจาก 63 IP แบบอัตโนมัติผ่าน proxy หมุนเวียน กระทบเวอร์ชัน 3.1.8.9 ลงไป แนะนำอัปเดตเป็น 4.0.1 พร้อมกันนี้ยังพบการโจมตีช่องโหว่ XSS ใน Ninja Forms และ WPC Product Bundles เพื่อฝังแบ็กดอร์และแอดมินที่ซ่อนตัว
ที่มา: The Hacker News
อ่านต่อ →

แฮ็กเกอร์เจาะช่องโหว่ปลั๊กอิน WooCommerce Wholesale Lead Capture ฝัง PHP web shell

Attackers exploit WooCommerce Wholesale Lead Capture flaw to plant PHP web shells
บริษัท Wordfence เตือนว่าแฮ็กเกอร์กำลังใช้ช่องโหว่ร้ายแรงในปลั๊กอิน WooCommerce Wholesale Lead Capture ของ WordPress (CVE-2026-27540 คะแนน CVSS 9.8) ที่มีการติดตั้งใช้งานกว่า 6,000 แห่ง ช่องโหว่เกิดจากการไม่ตรวจสอบชนิดไฟล์ ทำให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ PHP ฝัง web shell และรันโค้ดจากระยะไกลได้ Wordfence บล็อกการโจมตีไปแล้วกว่า 100,000 ครั้งตั้งแต่มิถุนายน พร้อมเตือนช่องโหว่ร้ายแรงอีกสองรายการในปลั๊กอิน The Events Calendar
ที่มา: The Hacker News
อ่านต่อ →

Funnel Builder ปลั๊กอิน WordPress ถูกโจมตีจริง — แฮ็กเกอร์ฝัง Skimmer ขโมยบัตรเครดิตจากร้านค้า WooCommerce กว่า 40,000 แห่ง

Funnel Builder WooCommerce checkout skimming attack
ช่องโหว่ร้ายแรงในปลั๊กอิน Funnel Builder สำหรับ WordPress ถูกโจมตีจริงแล้ว ผู้โจมตีฝังสคริปต์ปลอมที่เลียนแบบ Google Tag Manager เข้าไปในหน้า checkout ของร้านค้า WooCommerce เพื่อขโมยข้อมูลบัตรเครดิต ปลั๊กอินนี้ถูกใช้ในร้านค้าออนไลน์กว่า 40,000 แห่ง ช่องโหว่ไม่ต้องยืนยันตัวตน แพตช์แก้ไขแล้วในเวอร์ชัน 3.15.0.3
ที่มา: The Hacker News
อ่านต่อ →