ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ช่องโหว่ด้านความมั่นคงปลอดภัย และพบรายงานการโจมตีช่องโหว่ในปลั๊กอิน miniOrange SAML 2.0 Single Sign-On (SSO) สำหรับ WordPress ซึ่งผู้โจมตีสามารถใช้ช่องโหว่ดังกล่าวเพื่อข้ามกระบวนการยืนยันตัวตน (Authentication Bypass) และปลอมแปลงข้อมูล SAML Response เพื่อเข้าสู่ระบบในสิทธิ์ผู้ดูแลระบบ (Administrator) ได้ โดยมีรายงานว่าพบความพยายามโจมตีระบบที่ยังไม่ได้ดำเนินการอัปเดตแก้ไขช่องโหว่แล้ว
1. รายละเอียด
ผู้พัฒนา miniOrange (Xecurify) ได้ออกแพตช์แก้ไขช่องโหว่ด้านความมั่นคงปลอดภัยในปลั๊กอิน miniOrange SAML 2.0 Single Sign-On สำหรับ WordPress ซึ่งทำหน้าที่เชื่อมต่อระบบ WordPress กับผู้ให้บริการยืนยันตัวตนภายนอก (Identity Provider: IdP) เช่น Microsoft Entra ID, Okta, Google Workspace และ OneLogin เพื่อรองรับการเข้าสู่ระบบแบบ SAML SSO อย่างไรก็ตาม พบว่าผู้ไม่ประสงค์ดีมีความพยายามใช้ช่องโหว่ดังกล่าวเพื่อหลีกเลี่ยงการตรวจสอบสิทธิ์และเข้าถึงบัญชีผู้ดูแลระบบของเว็บไซต์ WordPress ที่มีการติดตั้งปลั๊กอินเวอร์ชันที่มีช่องโหว่ ส่งผลให้ผู้โจมตีอาจสามารถควบคุมเว็บไซต์ เพิ่มบัญชีผู้ดูแลระบบ เปลี่ยนแปลงเนื้อหา หรือติดตั้งโค้ดที่เป็นอันตรายเพิ่มเติมได้ [1]
2. ช่องโหว่ที่เกี่ยวข้อง
พบช่องโหว่สำคัญจำนวน 2 รายการ โดยผู้โจมตีสามารถใช้ช่องโหว่ร่วมกัน (Chaining Vulnerabilities) เพื่อปลอมแปลง SAML Response และข้ามการยืนยันตัวตน (Authentication Bypass) ทำให้สามารถเข้าสู่ระบบ WordPress ด้วยสิทธิ์ผู้ดูแลระบบ (Administrator) โดยไม่ต้องมีบัญชีผู้ใช้งานที่ถูกต้อง รายละเอียดดังนี้
2.1 CVE-2026-61979 (CVSS v3.1: 8.1) เป็นช่องโหว่ Authentication Bypass จากการตรวจสอบ SAML Signature Algorithm ที่ไม่ถูกต้อง ทำให้ผู้โจมตีสามารถสร้าง SAML Response ปลอมและผ่านการตรวจสอบตัวตนได้ [2]
2.2 CVE-2026-15981 (CVSS v3.1: 9.8) เป็นช่องโหว่ในการตรวจสอบลายเซ็น (Signature Validation) ที่อาจตีความค่าความผิดพลาดจาก OpenSSL เป็นผลสำเร็จ ทำให้ Signature ที่ไม่ถูกต้องสามารถผ่านการตรวจสอบได้ [3]
3. ผลิตภัณฑ์ที่ได้รับผลกระทบและแนวทางการแก้ไข
ผลิตภัณฑ์ที่ได้รับผลกระทบ ได้แก่ miniOrange SAML 2.0 Single Sign-On Plugin for WordPress มีเวอร์ชันที่ได้รับการแก้ไข ดังนี้
3.1 Free Single Site ให้อัปเดตเป็นเวอร์ชัน 5.4.5 หรือใหม่กว่า
3.2 Premium Single Site ให้อัปเดตเป็นเวอร์ชัน 13.0.4 หรือใหม่กว่า
3.3 Standard Single Site ให้อัปเดตเป็นเวอร์ชัน 17.06 หรือใหม่กว่า
3.4 Premium / Enterprise / All-Inclusive Multisite ให้อัปเดตเป็นเวอร์ชัน 20.2.8 หรือใหม่กว่า
3.5 Enterprise / All-Inclusive Single Site ให้อัปเดตเป็นเวอร์ชัน 26.0.3 หรือใหม่กว่า
3.6 VIP Single Site ให้อัปเดตเป็นเวอร์ชัน 32.0.8 หรือใหม่กว่า
3.7 VIP Multisite ให้อัปเดตเป็นเวอร์ชัน 35.0.7 หรือใหม่กว่า
หากยังไม่สามารถดำเนินการอัปเดตได้ทันที ควรพิจารณาลดความเสี่ยงชั่วคราว โดยปิดการใช้งานปลั๊กอินดังกล่าวหากไม่มีความจำเป็นต้องใช้งาน จำกัดการเข้าถึงหน้าเข้าสู่ระบบ WordPress เฉพาะเครือข่ายหรือผู้ใช้งานที่ได้รับอนุญาต และพิจารณาใช้งาน Web Application Firewall (WAF) เพื่อช่วยตรวจจับและป้องกันคำขอที่มีลักษณะผิดปกติ
4.หากสงสัยว่าอาจถูกโจมตีจากช่องโหว่แล้ว
4.1 ตรวจสอบบัญชีผู้ดูแลระบบ WordPress ว่ามีบัญชีที่ไม่ได้รับอนุญาตถูกสร้างขึ้นหรือไม่
4.2 ตรวจสอบประวัติการเข้าสู่ระบบ (Authentication Logs) หาการเข้าสู่ระบบจาก IP หรือพื้นที่ที่ผิดปกติ
4.3 ตรวจสอบไฟล์ภายในเว็บไซต์ เช่น Plugin, Theme และไฟล์ PHP ที่อาจถูกเพิ่มหรือแก้ไขโดยไม่ได้รับอนุญาต
4.4 เปลี่ยนรหัสผ่านบัญชีผู้ดูแลระบบ และบัญชีที่เกี่ยวข้องทั้งหมด
5. คำแนะนำด้านความปลอดภัยเพิ่มเติม
5.1 อัปเดต WordPress Core, Plugin และ Theme ให้เป็นเวอร์ชันล่าสุดอย่างสม่ำเสมอ เพื่อลดความเสี่ยงจากช่องโหว่ที่ทราบแล้ว
5.2 ติดตั้งปลั๊กอินเท่าที่จำเป็น และลบปลั๊กอินหรือธีมที่ไม่ได้ใช้งานออกจากระบบ
5.3 เปิดใช้งาน Multi-Factor Authentication (MFA) สำหรับบัญชีผู้ดูแลระบบ เพื่อเพิ่มความปลอดภัยในการเข้าสู่ระบบ
5.4 กำหนดสิทธิ์ผู้ใช้งานตามหลัก Least Privilege ไม่ให้บัญชีทั่วไปมีสิทธิ์ระดับ Administrator โดยไม่จำเป็น
5.5 จัดเก็บและตรวจสอบ Log การใช้งานระบบอย่างต่อเนื่อง โดยเฉพาะเหตุการณ์ Login สำเร็จ การเพิ่มบัญชีใหม่ และการเปลี่ยนแปลงสิทธิ์ผู้ใช้งาน
5.6 สำรองข้อมูลเว็บไซต์และฐานข้อมูลอย่างสม่ำเสมอ เพื่อรองรับการกู้คืนกรณีระบบถูกบุกรุก
แหล่งอ้างอิง
[1] https://dg.th/l5y1mta3ob
[2] https://dg.th/zx4ungrpkl
[3] https://dg.th/gvp4zhf1to