Wordpress

Wordfence บล็อกการโจมตีช่องโหว่ RCE ใน WordPress Core ได้ 62,969 ครั้งภายใน 24 ชั่วโมงหลังแพตช์ออกเมื่อ 28 ตุลาคม 2569 ช่องโหว่คะแนน CVSS 8.1 ยังไม่มี CVE กระทบเวอร์ชัน 4.7 ถึง 7.1.3 สาเหตุ คือ ขั้นตอนอัปเดตเต็มแพ็กเกจแตกไฟล์รวมตัวติดตั้งไว้ใต้ wp-content/upgrade ที่เดาได้และเปิดผ่านเว็บ ผู้โจมตีที่ยิงตรงจังหวะไม่กี่วินาทีจึงรันโค้ดได้โดยไม่ต้องล็อกอิน แหล่งโจมตีใหญ่ 2 แห่งวนเช็กไซต์กลุ่มเล็กนาน 14.5 ชั่วโมง ผู้ดูแลควรอัปเดตเป็น 7.1.4 และตรวจไฟล์ PHP กับบัญชีผู้ดูแลที่ไม่รู้จัก

WordPress ออกเวอร์ชัน 7.1.4 เมื่อ 28 ตุลาคม แก้ช่องโหว่ 22 ตัวใน 17 ประกาศ ตัวร้ายแรงที่สุดเป็น race condition ในขั้นตอนอัปเดตที่เปิดให้ผู้โจมตีไม่ต้องล็อกอินรันตัวติดตั้ง WordPress ที่แตกค้างใน wp-content/upgrade/ ด้วยฐานข้อมูลของตัวเองจนรันโค้ดได้ ส่วนที่เหลือเป็น stored XSS ใน Interactivity API และ block markup และสิทธิ์เข้าถึงผิดพลาด Patchstack ประเมินว่า RCE ใช้จริงยากเพราะมีช่วงเวลาเพียงไม่กี่วินาที ผู้ดูแลควรอัปเดตทันที บล็อก wp-content/upgrade/ และทบทวนบัญชีระดับ Contributor ขึ้นไป

บริษัท TeamUpdraft ผู้พัฒนา UpdraftPlus ปลั๊กอินแบ็กอัป WordPress ที่ติดตั้งกว่า 4 ล้านเว็บ ยืนยันว่าเว็บไซต์ teamupdraft.com ถูกเจาะช่วง 17–18 ตุลาคม 2569 ผู้โจมตีอาจได้ฐานข้อมูลลูกค้า รวมถึงคีย์เชื่อมต่อ UpdraftCentral, UpdraftVault และ UpdraftClone Patchstack พบผู้โจมตีใช้คีย์ UpdraftCentral ที่ถูกต้องสั่งติดตั้งปลั๊กอินแบ็กดอร์ต่อเนื่อง 18 ชั่วโมงในวันที่ 18–19 ตุลาคม แบ็กดอร์สร้างบัญชีสิทธิ์สูงที่ยังอยู่แม้ลบปลั๊กอินแล้ว เจ้าของเว็บควรอัปเดตและตรวจบัญชีกับปลั๊กอินแปลกปลอม

Rank Math PRO ปลั๊กอิน SEO แบบเสียเงินของ WordPress ที่ดาวน์โหลดหรืออัปเดตจาก rankmath.com ช่วง 20:02 UTC 15 ต.ค. ถึง 07:12 UTC 16 ต.ค. 2569 ถูกฝังมัลแวร์ เว็บที่ติดตั้งและเปิดใช้ต้องถือว่าถูกบุกรุก เพราะมัลแวร์สร้างแบ็กดอร์คืนได้ทุกครั้งที่มีผู้เข้าเว็บ เวอร์ชัน 3.0.124 ที่สะอาดไม่ลบไฟล์ บัญชีแอดมิน และงานตั้งเวลาที่มัลแวร์วางไว้ Wordfence ให้รหัส CVE-2026-111862 คะแนน 9.8 นับเป็นอย่างน้อยครั้งที่สามของปีที่ช่องทางอัปเดตของปลั๊กอินพรีเมียมถูกยึด

Infoblox เชื่อมโยง Help TDS ระบบกระจายทราฟฟิกที่ทำงานมาตั้งแต่ปี 2560 เข้ากับ Hotejka เครือข่ายพันธมิตรภาษารัสเซียที่เชื่อว่าเป็น ROI777 เปลี่ยนชื่อใหม่ ระบบนี้รับทราฟฟิกจากเว็บไซต์ WordPress ที่ถูกเจาะแล้วส่งต่อเหยื่อไปหน้าแจ้งเตือน Windows ปลอมให้โทรหา call center ตั้งแต่เมษายน 2569 กลุ่มนี้สร้างหน้า Cloudflare Pages ราว 300 หน้าต่อวัน รวมกว่า 20,000 โดเมน ปลายทางคือหลอกให้ติดตั้งโปรแกรมรีโมตเพื่อยึดเครื่องซ้ำ ๆ

Patchstack ตรวจพบการโจมตีจริงต่อช่องโหว่ CVE-2026-85097 คะแนน CVSS 10.0 ในปลั๊กอิน WordPress Bricksforge ตั้งแต่ 7 ตุลาคม 2569 ผู้โจมตีไม่ต้องล็อกอินก็อัปโหลดไฟล์ภาพที่ซ่อนโค้ด PHP แล้วสั่งให้ปลั๊กอินวางเป็นไฟล์ .php จนรันโค้ดบนเซิร์ฟเวอร์ได้ พบการโจมตีจาก 63 IP แบบอัตโนมัติผ่าน proxy หมุนเวียน กระทบเวอร์ชัน 3.1.8.9 ลงไป แนะนำอัปเดตเป็น 4.0.1 พร้อมกันนี้ยังพบการโจมตีช่องโหว่ XSS ใน Ninja Forms และ WPC Product Bundles เพื่อฝังแบ็กดอร์และแอดมินที่ซ่อนตัว

บริษัท SOCRadar พบ CyberXero นายหน้าขายสิทธิ์เข้าถึงที่พูดภาษารัสเซีย ใช้ AI สองชั้นในการเจาะระบบ ได้แก่ เอเจนต์ Claude Code สูงสุด 51 ตัว และ PentAGI ที่ต่อกับ Cobalt Strike หลักฐานมาจาก open directory ที่เปิดทิ้งไว้กว่า 90,000 ไฟล์ แคมเปญอัตโนมัติฝังเชลล์ WordPress ได้ 32 เว็บใน 61 วินาที อีกสายหนึ่งสำรวจองค์กรพลังงานยูเครน 7 แห่ง และดูดข้อมูลผู้ใช้บริการความร้อนในคาร์คิฟกว่า 564,000 ราย ยังไม่พบหลักฐานตรงว่ามีการขายสิทธิ์เข้าถึง

นักวิจัยบริษัท Sucuri เปิดโปงแบ็กดอร์ WordPress ชื่อ SC ที่ออกแบบเป็น ‘โครงข่ายซ่อมแซมตัวเอง’ ฝังเพย์โหลดไว้อย่างน้อย 8 จุดพร้อมกันทั้งในไฟล์ ฐานข้อมูล และหน่วยความจำร่วม โดยแต่ละจุดสามารถสร้างจุดอื่นขึ้นใหม่ได้ ลบปลั๊กอินก็ถูก drop-in เขียนกลับ ล้างไฟล์ทั้งดิสก์ก็ถูกกู้จากฐานข้อมูลในการโหลดหน้าถัดไป มัลแวร์สั่งงานผ่านบล็อกเชน Ethereum สร้างบัญชีแอดมินซ่อน และฉีดสคริปต์ใส่ผู้เข้าชม พร้อมกันนี้ช่องโหว่ SQL injection ใน wpForo (CVE-2026-1581) ก็ถูกใช้โจมตีจริงแล้ว

รายงานภัยคุกคามฉบับใหม่ของ CTM360 วิเคราะห์ URL ติดเชื้อกว่า 17,000 รายการที่เสิร์ฟหน้ายืนยันตัวตน Cloudflare ปลอม เผยว่ากล ClickFix กลายเป็นเทคนิคเจาะเครือข่ายองค์กรอันดับหนึ่ง โดยไม่ต้องอาศัยช่องโหว่ ไฟล์แนบ หรือไฟล์บนดิสก์ รายงานชี้ 3 จุดสำคัญ ได้แก่ โครงสร้างพื้นฐานที่ทนต่อการถอดถอนด้วย EtherHiding บนบล็อกเชน Polygon การเลือกเป้าหมายฝั่งเซิร์ฟเวอร์ที่ต้านการวิเคราะห์ และเพย์โหลดที่ผูกกับลายนิ้วมือเครื่อง ปลายทางคือมัลแวร์ Vidar Stealer ที่รันในโปรเซส Microsoft ผ่าน DLL side-loading

แฮ็กเกอร์เริ่มโจมตีช่องโหว่ร้ายแรงใน WordPress CVE-2026-87902 (CVSS 9.2) ภายในไม่กี่ชั่วโมงหลังเปิดเผยต่อสาธารณะ. ช่องโหว่เปิดให้ผู้โจมตีที่ไม่ต้องยืนยันตัวตนรันโค้ดจากระยะไกล ผ่าน get_page_template() ที่ include ไฟล์ .php นอก theme ได้. การใช้ประโยชน์ต้องเข้าเงื่อนไขสองข้อเกี่ยวกับ theme และไฟล์เป้าหมาย. Previdian บันทึกความพยายามโจมตี 68 ครั้งตั้งแต่ 23 กันยายน. แนะนำอัปเดตเป็น WordPress 7.1.2 หรือเวอร์ชันที่แก้แล้วทันที.