Wordfence

Wordfence บล็อกการโจมตีช่องโหว่ RCE ใน WordPress Core ได้ 62,969 ครั้งภายใน 24 ชั่วโมงหลังแพตช์ออกเมื่อ 28 ตุลาคม 2569 ช่องโหว่คะแนน CVSS 8.1 ยังไม่มี CVE กระทบเวอร์ชัน 4.7 ถึง 7.1.3 สาเหตุ คือ ขั้นตอนอัปเดตเต็มแพ็กเกจแตกไฟล์รวมตัวติดตั้งไว้ใต้ wp-content/upgrade ที่เดาได้และเปิดผ่านเว็บ ผู้โจมตีที่ยิงตรงจังหวะไม่กี่วินาทีจึงรันโค้ดได้โดยไม่ต้องล็อกอิน แหล่งโจมตีใหญ่ 2 แห่งวนเช็กไซต์กลุ่มเล็กนาน 14.5 ชั่วโมง ผู้ดูแลควรอัปเดตเป็น 7.1.4 และตรวจไฟล์ PHP กับบัญชีผู้ดูแลที่ไม่รู้จัก

บริษัท TeamUpdraft ผู้พัฒนา UpdraftPlus ปลั๊กอินแบ็กอัป WordPress ที่ติดตั้งกว่า 4 ล้านเว็บ ยืนยันว่าเว็บไซต์ teamupdraft.com ถูกเจาะช่วง 17–18 ตุลาคม 2569 ผู้โจมตีอาจได้ฐานข้อมูลลูกค้า รวมถึงคีย์เชื่อมต่อ UpdraftCentral, UpdraftVault และ UpdraftClone Patchstack พบผู้โจมตีใช้คีย์ UpdraftCentral ที่ถูกต้องสั่งติดตั้งปลั๊กอินแบ็กดอร์ต่อเนื่อง 18 ชั่วโมงในวันที่ 18–19 ตุลาคม แบ็กดอร์สร้างบัญชีสิทธิ์สูงที่ยังอยู่แม้ลบปลั๊กอินแล้ว เจ้าของเว็บควรอัปเดตและตรวจบัญชีกับปลั๊กอินแปลกปลอม

Patchstack ตรวจพบการโจมตีจริงต่อช่องโหว่ CVE-2026-85097 คะแนน CVSS 10.0 ในปลั๊กอิน WordPress Bricksforge ตั้งแต่ 7 ตุลาคม 2569 ผู้โจมตีไม่ต้องล็อกอินก็อัปโหลดไฟล์ภาพที่ซ่อนโค้ด PHP แล้วสั่งให้ปลั๊กอินวางเป็นไฟล์ .php จนรันโค้ดบนเซิร์ฟเวอร์ได้ พบการโจมตีจาก 63 IP แบบอัตโนมัติผ่าน proxy หมุนเวียน กระทบเวอร์ชัน 3.1.8.9 ลงไป แนะนำอัปเดตเป็น 4.0.1 พร้อมกันนี้ยังพบการโจมตีช่องโหว่ XSS ใน Ninja Forms และ WPC Product Bundles เพื่อฝังแบ็กดอร์และแอดมินที่ซ่อนตัว

บริษัท Wordfence เตือนว่าแฮ็กเกอร์กำลังใช้ช่องโหว่ร้ายแรงในปลั๊กอิน WooCommerce Wholesale Lead Capture ของ WordPress (CVE-2026-27540 คะแนน CVSS 9.8) ที่มีการติดตั้งใช้งานกว่า 6,000 แห่ง ช่องโหว่เกิดจากการไม่ตรวจสอบชนิดไฟล์ ทำให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ PHP ฝัง web shell และรันโค้ดจากระยะไกลได้ Wordfence บล็อกการโจมตีไปแล้วกว่า 100,000 ครั้งตั้งแต่มิถุนายน พร้อมเตือนช่องโหว่ร้ายแรงอีกสองรายการในปลั๊กอิน The Events Calendar

Wordfence รายงานว่าผู้ก่อภัยคุกคามกำลังโจมตีช่องโหว่ระดับวิกฤตสองรายการในปลั๊กอิน WordPress ได้แก่ CVE-2026-14894 ใน Super Forms และ CVE-2026-32475 ใน Elementor Pro ทั้งคู่เป็นช่องโหว่อัปโหลดไฟล์โดยไม่ตรวจชนิด เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ PHP แล้วรันคำสั่งบนเซิร์ฟเวอร์ได้ Wordfence สกัดความพยายามโจมตีไปแล้วกว่า 250,000 และ 190,000 ครั้งตามลำดับ แพตช์อยู่ในเวอร์ชัน 6.3.314 และ 4.2.2

บริษัท Wordfence เปิดเผยช่องโหว่ CVE-2026-15748 (CVSS 9.8) ในปลั๊กอิน Forminator Forms ของ WordPress ที่มีการติดตั้งใช้งานกว่า 600,000 แห่ง เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนอัปโหลดไฟล์ตามอำเภอใจรวมถึงไฟล์ PHP จนรันโค้ดและยึดเว็บได้ทั้งไซต์ เงื่อนไขคือฟอร์มต้องมีทั้งฟิลด์ File Upload และฟิลด์ Select กระทบทุกเวอร์ชันถึง 1.56.1 และแก้แล้วใน 1.56.2 ที่ออกเมื่อ 31 กรกฎาคม 2569 พร้อมกันนั้น Wordfence ยังเปิดเผย CVE-2026-15826 ในปลั๊กอิน User Profile Builder ที่เปิดทางล็อกอินเป็นผู้ดูแลระบบ

ปลั๊กอิน WordPress ชื่อ Advanced Responsive Video Embedder (ARVE) ถูกฝังแบ็กดอร์ในเวอร์ชัน 10.8.7 เปิดทางให้ผู้ที่รู้โทเค็นลับล็อกอินเป็นแอดมินได้โดยไม่ต้องใช้รหัสผ่าน ระบบ PRISM ของ Wordfence ตรวจพบภายในไม่ถึง 2 ชั่วโมงหลังโค้ดถูกใส่เข้ามาเมื่อวันที่ 28 กรกฎาคม 2569 ช่องโหว่นี้ได้เลข CVE-2026-18072 ระดับวิกฤต CVSS 9.8 ขณะที่ WordPress.org ยืนยันว่าเวอร์ชันดังกล่าวยังไม่ถูกกระจายผ่านอัปเดตอัตโนมัติ

ช่องโหว่ระดับวิกฤตในปลั๊กอิน Kirki ของ WordPress (CVE-2026-8206 CVSS 9.8) เปิดทางให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนยึดบัญชีแอดมินได้ กระทบเว็บกว่า 500,000 แห่ง และยังเสี่ยงอยู่ราว 150,000 แห่ง ช่องโหว่อยู่ในฟังก์ชัน handle_forgot_password() ที่รับทั้ง username และ email โดยไม่ตรวจความสัมพันธ์ ทำให้ผู้โจมตีส่งคำขอรีเซ็ตรหัสด้วย username ของแอดมินแต่ใช้อีเมลของตัวเอง รับ reset token แล้วตั้งรหัสใหม่ยึดบัญชี กระทบเวอร์ชัน 6.0.0–6.0.6 แก้แล้วใน 6.0.7