ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ และพบว่า WordPress ออกอัปเดตด้านความมั่นคงปลอดภัย เพื่อแก้ไขช่องโหว่ CVE-2026-64638 ซึ่งเป็นช่องโหว่ในระดับร้ายแรง ประเภท Pre-Authentication Reflected Cross-Site Scripting (XSS) ซึ่งแฝงตัวอยู่บริเวณหน้าการเข้าสู่ระบบจัดการเนื้อหาเว็บไซต์ WordPress (Login Screen) โดยผู้โจมตีไม่จำเป็นต้องมีบัญชีผู้ใช้งานหรือผ่านการยืนยันตัวตน และภายใต้เงื่อนไขบางประการอาจต่อยอดการโจมตีไปสู่การรัน PHP Code บนเซิร์ฟเวอร์ได้ ผู้ดูแลเว็บไซต์ WordPress ที่ยังไม่ได้ติดตั้งอัปเดตจึงควรเร่งดำเนินการโดยเร็วที่สุด [1]
1. รายละเอียดช่องโหว่
CVE-2026-64638 (CVSS v3.1: 8.9) เป็นช่องโหว่ที่เกิดขึ้นในกระบวนการประมวลผลและแสดงผลชื่อผู้ใช้งานเมื่อมีการเข้าสู่ระบบไม่สำเร็จบนหน้า Login ของ WordPress ผู้โจมตีผ่านเครือข่ายที่ไม่ต้องผ่านการยืนยันตัวตน จะสามารถส่งข้อมูลที่ถูกสร้างขึ้นเป็นพิเศษ เพื่อทำให้ JavaScript ของผู้โจมตีทำงานภายใต้ Origin ของเว็บไซต์ WordPress เป้าหมายได้ ช่องโหว่ดังกล่าวสามารถนำไปเชื่อมโยงเป็นชุดการโจมตีที่เรียกว่า XSS2Shell โดยหากผู้ดูแลระบบ WordPress ที่กำลังเข้าสู่ระบบด้วยสิทธิ์ Administrator ถูกหลอกให้เข้าไปยังหน้าเว็บที่ผู้โจมตีควบคุมและมีการโต้ตอบกับหน้าเว็บ ผู้โจมตีอาจใช้สิทธิ์ของ Session ดังกล่าวเพื่อดำเนินการเพิ่มเติม และท้ายที่สุดอาจนำไปสู่การอัปโหลดโค้ดและรัน PHP บนเซิร์ฟเวอร์ได้ [2]
ทั้งนี้ WordPress ระบุว่าจำเป็นต้องมีเงื่อนไขเพิ่มเติมที่อยู่นอกเหนือการควบคุมของผู้โจมตี รวมถึงต้องอาศัยกลวิธีแบบ Social Engineering และการโต้ตอบจากผู้ใช้งานเป้าหมาย ซึ่งหากสามารถโจมตีจนรัน PHP Code ได้สำเร็จ ผู้โจมตีอาจเข้าถึงข้อมูลสำคัญของ WordPress แก้ไขเนื้อหาเว็บไซต์ สร้างบัญชีผู้ดูแลระบบเพื่อคงสิทธิ์การเข้าถึง เข้าถึงไฟล์หรือข้อมูลลับที่ Web Server สามารถอ่านได้ และอาจสั่งรันคำสั่งบนระบบปฏิบัติการด้วยสิทธิ์ของ Web Server Process ได้
2. ผลิตภัณฑ์ที่ได้รับผลกระทบ
เว็บไซต์ที่ใช้ WordPress ทุกเวอร์ชัน (รวมถึงเวอร์ชัน 7.0.2 และเวอร์ชันที่เก่ากว่า)
3. แนวทางการแก้ไข [3]
3.1 อัปเดต WordPress เป็นเวอร์ชัน 7.0.3 หรือใหม่กว่าโดยทันที
3.2 หากมีข้อจำกัดที่ต้องใช้งาน WordPress เวอร์ชันเดิม ให้ติดตั้ง Security Release ล่าสุดของเวอร์ชันนั้นตามรายการข้างต้น
3.3 ตรวจสอบสถานะ Automatic Background Updates เพื่อยืนยันว่าเว็บไซต์ได้รับการติดตั้ง Security Update เรียบร้อยแล้ว
3.4 หากใช้งาน WordPress 4.6 หรือต่ำกว่า ควรอัปเกรดไปยังเวอร์ชันที่ยังได้รับการสนับสนุน ไม่ควรใช้งานเวอร์ชันดังกล่าวต่อในระบบ Production
แนะนำให้ผู้ดูแลเว็บไซต์ติดตั้ง Security Release โดยทันที โดยสามารถดำเนินการผ่านเมนู Dashboard → Updates → Update Now หรือใช้ระบบ Automatic Background Updates ในเว็บไซต์ที่รองรับ
4. หากยังไม่สามารถอัปเดตได้ทันที ควรดำเนินการดังนี้ [4]
4.1 จำกัดการเข้าถึงหน้า wp-login.php และส่วนบริหารจัดการ WordPress ให้เฉพาะผู้ใช้งานหรือเครือข่ายที่มีความจำเป็นเท่านั้น
4.2 ตรวจสอบ Web Server, WAF และ Access Log สำหรับคำขอที่ผิดปกติไปยัง wp-login.php โดยเฉพาะ POST Request ที่มีอักขระหรือข้อมูล HTML ผิดปกติในช่องชื่อผู้ใช้งาน ซึ่งอาจเป็นสัญญาณของความพยายามใช้ประโยชน์จากช่องโหว่
4.3 ตรวจสอบบัญชี Administrator และ Application Passwords ว่ามีบัญชีหรือ Credential ที่ไม่ได้รับอนุญาตถูกสร้างขึ้นหรือไม่ และเพิกถอนรายการที่ไม่ทราบที่มา
4.4 ตรวจสอบการติดตั้ง Plugin หรือไฟล์ใหม่ภายใน wp-content/plugins/ รวมถึงการเปลี่ยนแปลงไฟล์สำคัญของเว็บไซต์ที่ไม่ได้รับอนุญาต
แหล่งอ้างอิง