604/69 (IT) ประจำวันพุธที่ 4 พฤศจิกายน 2569
นักวิจัยจาก Defused Cyber ตรวจพบความพยายามใช้ช่องโหว่ CVE-2026-81648 โจมตีปลั๊กอิน CryptoPayment Gateway สำหรับ WordPress เป็นช่องโหว่ประเภท Missing Authorization มีคะแนน CVSS v3.1 ที่ 10.0 ระดับ Critical ส่งผลกระทบต่อเวอร์ชัน 1.2.1 ถึง 1.2.2 โดยผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนอาจเรียกใช้ฟังก์ชันระดับผู้ดูแล ลบไฟล์บนเซิร์ฟเวอร์ แก้ไขการตั้งค่า Payment Gateway และเข้าถึง Wallet Credentials ที่จัดเก็บไว้ในรูปแบบ Cleartext ได้ ทั้งนี้ มีการตรวจพบความพยายามใช้ช่องโหว่โจมตีจริงแล้ว แต่ยังไม่มีข้อมูลยืนยันว่ามีเว็บไซต์ถูกบุกรุกสำเร็จหรือมีสินทรัพย์ถูกขโมยจากเหตุการณ์ดังกล่าว
ช่องโหว่เกิดจาก AJAX Endpoint ของปลั๊กอินไม่มีการตรวจสอบสิทธิ์อย่างเหมาะสม ทำให้ผู้โจมตีสามารถส่งคำขอเพื่อเรียกใช้ฟังก์ชันที่ควรจำกัดเฉพาะผู้มีสิทธิ์ได้โดยไม่ต้องมีบัญชี WordPress ซึ่งอาจนำไปสู่การลบไฟล์ เปลี่ยนค่าการตั้งค่าการชำระเงิน หรือดึงข้อมูล Wallet Credentials ที่จัดเก็บไว้ ปัจจุบัน เวอร์ชัน 1.2.2 ยังคงเป็นเวอร์ชันล่าสุดและยังไม่มีแพตช์แก้ไข โดยปลั๊กอินถูกปิดออกจาก WordPress Plugin Directory ตั้งแต่วันที่ 28 สิงหาคม 2569 ด้วยเหตุผลด้านความปลอดภัย
ผู้ดูแลเว็บไซต์ที่ติดตั้ง CryptoPayment Gateway ควรตรวจสอบและนำปลั๊กอินออกจากระบบ เนื่องจากยังไม่มีเวอร์ชันที่แก้ไขช่องโหว่ พร้อมเปลี่ยน Wallet Keys และข้อมูลรับรองที่เคยจัดเก็บผ่านปลั๊กอิน รวมถึงตรวจสอบการตั้งค่า Payment Gateway และไฟล์บนเว็บไซต์ว่ามีการเปลี่ยนแปลงโดยไม่ได้รับอนุญาตหรือไม่ นอกจากนี้ ควรตรวจสอบ Web Server Log สำหรับคำขอที่เกี่ยวข้องกับปลั๊กอินจากแหล่งที่ไม่รู้จัก หากพบกิจกรรมผิดปกติ ควรตรวจสอบขอบเขตความเสียหายที่อาจเกิดขึ้น และดำเนินการตามกระบวนการตอบสนองต่อเหตุการณ์ด้านความมั่นคงปลอดภัยไซเบอร์ขององค์กร