ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ และพบรายงานช่องโหว่จำนวน 2 รายการใน WordPress Core ที่เป็นระบบบริหารจัดการเนื้อหาเว็บไซต์ที่มีการใช้งานอย่างแพร่หลาย โดยช่องโหว่ดังกล่าวประกอบด้วย CVE-2026-60137 เป็นช่องโหว่ประเภท SQL Injection และ CVE-2026-63030 เป็นช่องโหว่ REST API Batch Endpoint Route Confusion ทำให้ผู้โจมตีสามารถนำช่องโหว่ทั้งสองรายการมาใช้ร่วมกันเป็นการโจมตีที่เรียกว่า “wp2shell” เพื่อรันคำสั่งหรือโค้ดอันตรายบนเซิร์ฟเวอร์โดยไม่ต้องผ่านการยืนยันตัวตน โดยช่องโหว่ดังกล่าวส่งผลกระทบต่อ WordPress ที่ติดตั้งตามค่าเริ่มต้น โดยไม่จำเป็นต้องมีปลั๊กอินติดตั้งเพิ่มเติม ปัจจุบันมีการเผยแพร่โค้ด Proof-of-Concept แล้ว และมีรายงานเบื้องต้นของการนำโค้ดดังกล่าวไปใช้โจมตีระบบจริง ผู้ดูแลเว็บไซต์ที่ยังไม่ได้ติดตั้งเวอร์ชันแก้ไขจึงมีความเสี่ยงสูงต่อการถูกโจมตีทางไซเบอร์ [1] [2]
1. รายละเอียดช่องโหว่
1.1 CVE-2026-60137 มีคะแนน CVSS V3.1 : 9.1[3] – SQL Injection ในพารามิเตอร์ author__not_in ของ WP_Query เป็นช่องโหว่เกิดจาก WordPress Core ตรวจสอบและกรองข้อมูลที่ส่งมายังพารามิเตอร์ author__not_in ขององค์ประกอบ WP_Query ไม่เหมาะสม โดยช่องโหว่อาจเกิดขึ้นเมื่อปลั๊กอินหรือธีมนำข้อมูลที่ผู้ใช้งานควบคุมได้ส่งผ่านไปยังพารามิเตอร์ดังกล่าว ทำให้ผู้โจมตีอาจส่งข้อมูลที่ถูกสร้างขึ้นเป็นพิเศษ เพื่อทำให้ข้อมูลที่ไม่ได้รับการตรวจสอบอย่างเพียงพอถูกนำไปประกอบเป็นคำสั่ง SQL และสั่งให้ระบบฐานข้อมูลประมวลผลคำสั่งที่ผู้โจมตีกำหนด และหากโจมตีสำเร็จ ผู้โจมตีอาจสามารถเข้าถึงหรือดึงข้อมูลที่มีความสำคัญออกจากฐานข้อมูล WordPress เช่น ข้อมูลบัญชีผู้ใช้งาน ค่าแฮชรหัสผ่าน และข้อมูลการตั้งค่าของเว็บไซต์ รวมถึงอาจนำช่องโหว่นี้ไปใช้ร่วมกับ CVE-2026-63030 เพื่อรันคำสั่งบนเซิร์ฟเวอร์
1.2 CVE-2026-63030 มีคะแนน CVSS V3.1 : 9.8[4] – REST API Batch Endpoint Route Confusion เป็นช่องโหว่เกิดขึ้นในส่วน Batch Endpoint ของ WordPress REST API ที่ใช้สำหรับประมวลผลคำขอย่อยหลายรายการภายในคำขอเดียว โดยข้อผิดพลาดในการจับคู่เส้นทางกับตัวจัดการคำขอ อาจทำให้คำขอย่อยถูกประมวลผลด้วยตัวจัดการของคำขออื่นที่ไม่ตรงกัน โดยผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนอาจส่งคำขอ HTTP ที่ถูกสร้างขึ้นเป็นพิเศษผ่านเส้นทาง /wp-json/batch/v1 เพื่อข้ามข้อจำกัดของ REST API และส่งข้อมูลไปยังส่วนที่ได้รับผลกระทบจากช่องโหว่ CVE-2026-60137 และเมื่อใช้ช่องโหว่ทั้งสองรายการร่วมกัน ผู้โจมตีอาจสามารถดำเนินการ SQL Injection และรันคำสั่งหรือโค้ดอันตรายบนเซิร์ฟเวอร์ WordPress จากระยะไกล ส่งผลให้ผู้โจมตีอาจควบคุมเว็บไซต์ เข้าถึงข้อมูล ติดตั้งปลั๊กอินหรือ Web Shell ที่เป็นอันตราย แก้ไขเนื้อหาเว็บไซต์ หรือใช้เซิร์ฟเวอร์ที่ถูกโจมตีเป็นจุดเริ่มต้นในการโจมตีระบบอื่นภายในองค์กรได้
2. ผลิตภัณฑ์และเวอร์ชันที่ได้รับผลกระทบ
2.1 ช่องโหว่ CVE-2026-60137 ส่งผลกระทบต่อ WordPress เวอร์ชันต่อไปนี้
– WordPress 6.8.0 ถึง 6.8.5
– WordPress 6.9.0 ถึง 6.9.4
– WordPress 7.0.0 ถึง 7.0.1
2.2 ช่องโหว่ CVE-2026-63030 ส่งผลกระทบต่อ WordPress เวอร์ชันต่อไปนี้
– WordPress 6.9.0 ถึง 6.9.4
– WordPress 7.0.0 ถึง 7.0.1
สำหรับ WordPress 6.8.0 ถึง 6.8.5 จะได้รับผลกระทบจากช่องโหว่ SQL Injection หมายเลข CVE-2026-60137 แต่ไม่ได้รับผลกระทบจากการโจมตี Remote Code Execution แบบ wp2shell เนื่องจากช่องโหว่ CVE-2026-63030 เริ่มส่งผลกระทบตั้งแต่ WordPress เวอร์ชัน 6.9 เป็นต้นไป
3. แนวทางการแก้ไข
อัปเดต WordPress เป็นเวอร์ชันที่ได้รับการแก้ไข ดังนี้
– WordPress 6.8.x ให้อัปเดตเป็น WordPress 6.8.6 หรือใหม่กว่า
– WordPress 6.9.x ให้อัปเดตเป็น WordPress 6.9.5 หรือใหม่กว่า
– WordPress 7.0.x ให้อัปเดตเป็น WordPress 7.0.2 หรือใหม่กว่า
– WordPress 7.1 รุ่นทดสอบ ให้อัปเดตเป็น WordPress 7.1 Beta 2 หรือใหม่กว่า
WordPress ได้เปิดใช้การอัปเดตความปลอดภัยแบบบังคับผ่านระบบอัปเดตอัตโนมัติสำหรับเว็บไซต์ที่ใช้เวอร์ชันที่ได้รับผลกระทบ อย่างไรก็ตาม ผู้ดูแลระบบควรตรวจสอบหมายเลขเวอร์ชันที่ใช้งานจริงด้วยตนเอง เนื่องจากเว็บไซต์ที่ปิดการอัปเดตอัตโนมัติ มีข้อจำกัดด้านสิทธิ์การเขียนไฟล์ หรือมีการปรับแต่งระบบ อาจไม่ได้รับการอัปเดตโดยสมบูรณ์
4. หากยังไม่สามารถอัปเดตได้ทันที ควรดำเนินการดังนี้
4.1 กำหนดกฎบนเว็บแอปพลิเคชันไฟร์วอลล์ (Web Application Firewall: WAF) เพื่อบล็อกคำขอที่เข้าถึงเส้นทาง /wp-json/batch/v1
4.2 บล็อกคำขอที่มีพารามิเตอร์ rest_route=/batch/v1 เนื่องจากการบล็อกเฉพาะเส้นทาง /wp-json/batch/v1 อาจไม่ครอบคลุมการเข้าถึงผ่านสตริงคำขอ (Query String)
4.3 ปิดหรือจำกัดการเข้าถึง WordPress REST API จากผู้ใช้งานที่ไม่ผ่านการยืนยันตัวตน หากเว็บไซต์ไม่มีความจำเป็นต้องเปิดให้บริการดังกล่าว
4.4 จำกัดการเข้าถึงหน้าเข้าสู่ระบบและส่วนบริหารจัดการ WordPress ให้เฉพาะเครือข่ายหรือหมายเลขไอพี (IP Address) ที่เชื่อถือได้
4.5 ตรวจสอบบัญชีผู้ดูแลระบบที่ถูกสร้างขึ้นใหม่ การติดตั้งปลั๊กอินหรือธีมที่ไม่รู้จัก และการเปลี่ยนแปลงไฟล์ภายในไดเรกทอรีของเว็บไซต์
4.6 สำรองข้อมูลเว็บไซต์ ฐานข้อมูล และไฟล์การตั้งค่าที่สำคัญ โดยจัดเก็บข้อมูลสำรองแยกออกจากระบบที่ให้บริการ
4.7 หากพบพฤติกรรมผิดปกติ ควรแยกระบบที่ได้รับผลกระทบ ตรวจสอบขอบเขตของการบุกรุก เปลี่ยนรหัสผ่านของบัญชีที่เกี่ยวข้อง และสร้าง WordPress Security Keys และ Salts ชุดใหม่
แหล่งอ้างอิง
[1] https://dg.th/1cwg27xiuq
[2] https://dg.th/8ebqhkiv70
[3] https://dg.th/ev7k8lrwbi
[4] https://dg.th/xmjqlvsi8y