พบช่องโหว่ RCE “wp2shell” ใน WordPress Core รีบแก้ไขด่วน

มีการเปิดเผยช่องโหว่ "wp2shell" ที่ส่งผลกระทบต่อ WordPress Core โดยเป็นช่องโหว่การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) ทำให้ผู้ดูแลระบบจำเป็นต้องเร่งแก้ไขช่องโหว่บนเว็บไซต์โดยทันที

wp2shell ประกอบด้วยช่องโหว่ 2 รายการคือ CVE-2026-63030 และ CVE-2026-60137 ซึ่งได้ถูกนำมาใช้ร่วมกันในการโจมตี เพื่อเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลโดยไม่ต้องมีการ authentication ใน WordPress เวอร์ชัน 6.9.x และ 7.0.x

CVE-2026-63030 เป็นช่องโหว่ REST API batch-route confusionI ที่พบใน WordPress 6.9 ตามคำแนะนำของ GitHub ช่องโหว่นี้สามารถใช้ร่วมกับช่องโหว่การโจมตีด้วย SQL injection เพื่อทำให้สามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้

CVE-2026-60137 เป็นช่องโหว่ SQL injection ในพารามิเตอร์ 'author__not_in' ของ 'WP_Query' โดย WordPress อธิบายว่าเป็นช่องโหว่การโจมตีด้วยวิธีการ SQL injection ที่มีระดับความรุนแรงสูง ซึ่งส่งผลกระทบต่อ WordPress 6.8 และเวอร์ชันที่ใหม่กว่า

ช่องโหว่นี้ถูกค้นพบโดย Adam Kues จาก Searchlight Cyber ​​ซึ่งระบุว่า Hacker ที่ไม่จำเป็นต้องผ่านการยืนยันตัวตน (Anonymous) สามารถใช้ช่องโหว่นี้กับ WordPress ที่ตั้งค่าเริ่มต้น (Default Installation) ได้ทันที โดยไม่จำเป็นต้องติดตั้ง Plugin หรือมีเงื่อนไขพิเศษใด ๆ

Searchlight Cyber ​​ประเมินว่า มีเว็บไซต์มากกว่า 500 ล้านเว็บไซต์ที่ใช้ WordPress ทำให้ช่องโหว่นี้มีผลกระทบอย่างมหาศาล โดยเฉพาะอย่างยิ่งหลังจากที่มีการเผยแพร่ตัวอย่างการโจมตี (PoC) ออกมาแล้ว

เนื่องจากความร้ายแรงของช่องโหว่ ทีมรักษาความปลอดภัยของ WordPress จึงได้เปิดใช้งานการอัปเดตความปลอดภัยอัตโนมัติสำหรับเวอร์ชันที่ได้รับผลกระทบ และขอให้เจ้าของเว็บไซต์อัปเดตเป็น WordPress 7.0.2 หรือ 6.9.5 โดยทันที

ตามคำแนะนำของ WordPress การเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลทั้งหมดนี้ส่งผลกระทบต่อ WordPress เวอร์ชัน 6.9.0 ถึง 6.9.4 และ WordPress เวอร์ชัน 7.0.0 ถึง 7.0.1

ช่องโหว่การโจมตีแบบ SQL injection ยังส่งผลกระทบต่อ WordPress เวอร์ชัน 6.8.0 ถึง 6.8.5 ด้วย แต่ไม่สามารถเชื่อมโยงกับการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้ เนื่องจาก REST API batch-route confusion bug ถูกเพิ่มเข้ามาใน WordPress เวอร์ชัน 6.9 แล้ว

ช่องโหว่การโจมตี wp2shell ทั้งหมดได้รับการแก้ไขแล้วใน WordPress เวอร์ชัน 6.9.5 และ 7.0.2

ขณะนี้ Searchlight Cyber ​​กำลังระงับรายละเอียดทางเทคนิคเพื่อให้ผู้ดูแลระบบมีเวลาในการแก้ไข โดยได้สร้างเว็บไซต์ wp2shell[.]com ขึ้นมาเพื่อให้ผู้ดูแลระบบสามารถทดสอบได้ว่าการติดตั้ง WordPress ของตนมีช่องโหว่หรือไม่

สำหรับองค์กรที่ไม่สามารถอัปเดตได้ทันที Searchlight Cyber ​​แนะนำดังนี้ :

• ติดตั้งปลั๊กอินที่ block การเข้าถึง REST API แบบ anonymous access
• block /wp-json/batch/v1 และ ?rest_route=/batch/v1 ใน WAF (Web Application Firewall)

WordPress เตือนว่ามาตรการแก้ไขเหล่านี้ควรใช้เป็นเพียงมาตรการชั่วคราวเท่านั้น จนกว่าระบบจะได้รับการอัปเดต

Cloudflare ยังประกาศด้วยว่าได้ติดตั้งระบบป้องกัน Web Application Firewall (WAF) สำหรับช่องโหว่ทั้งสองในทุก plan รวมถึง free accounts

Cloudflare ระบุว่า rules หล่านี้จะ block ความพยายามในการโจมตีทั้งช่องโหว่ SQL injection (CVE-2026-60137) และช่องโหว่ REST API batch-route confusion (CVE-2026-63030) ทั้งนี้ Cloudflare ระบุว่า WAF จะช่วยลดความเสี่ยงในขณะที่ลูกค้ากำลังอัปเดต แต่ไม่ใช่สิ่งที่ทดแทนการแพตช์ได้

Public PoC exploits ถูกเผยแพร่

แม้ว่า Searchlight Cyber ​​จะชะลอการเปิดเผยรายละเอียดทางเทคนิคเพื่อให้ผู้ดูแลระบบมีเวลาในการอัปเดตแพตช์ แต่โค้ดตัวอย่างการโจมตี (PoC) หลายตัวได้ถูกเผยแพร่บน GitHub แล้ว

ตัวอย่างการโจมตีที่เปิดเผยต่อสาธารณะบางตัว ได้รวมช่องโหว่ทั้งสองเข้าด้วยกันเพื่อดึง WordPress password hashe ผ่าน SQL injection จากนั้นจึงเจาะรหัสผ่านผู้ดูแลระบบเพื่อเข้าสู่ระบบ อัปโหลด plugin ที่เป็นอันตราย และเรียกใช้คำสั่งจากระยะไกล

อย่างไรก็ตาม การโจมตีแบบ Public PoC exploits อื่น ๆ อ้างว่าสามารถเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลได้โดยไม่ต้องมีการ authentication และไม่จำเป็นต้องใช้ข้อมูล credentials ของผู้ดูแลระบบ ซึ่งสอดคล้องกับคำอธิบายของ Searchlight Cyber

BleepingComputer ได้ติดต่อ Searchlight Cyber ​​เพื่อยืนยันว่าการโจมตีด้วย Public PoC exploits ดังกล่าว ไม่จำเป็นต้องใช้รหัสผ่านของผู้ดูแลระบบใช่หรือไม่

รวมถึงบริษัทรักษาความปลอดภัย watchTowr ระบุว่า พวกเขาพบการโจมตีที่เกิดขึ้นจริงแล้ว หลังจากที่มี exploits ถูกเผยแพร่สู่สาธารณะ

Benjamin Harris ซีอีโอของ watchTowr ให้ข้อมูลกับ BleepingComputer ทางอีเมล โดยระบุว่า “ทั้งนี้ WordPress มักถูกมองในแง่ลบเรื่องความปลอดภัย แต่ความจริงก็คือ ช่องโหว่การโจมตีด้วย SQL injection หรือการเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกล (RCE) โดยไม่ต้องยืนยันตัวตนใน WordPress core นั้นค่อนข้างหายาก นั่นคือสิ่งที่ทำให้ช่องโหว่นี้แตกต่าง และเป็นเหตุผลว่าทำไมจึงต้องเร่งแก้ไขก่อนที่จะมีการโจมตีอย่างแพร่หลาย ดังที่ทีม watchTowr พบ PoC exploits ที่ถูกเผยแพร่แล้ว และเริ่มเห็นสัญญาณของการโจมตีช่องโหว่ในวงกว้างแล้ว”

เนื่องจากมี Public PoC exploits ที่ถูกเผยแพร่สู่สาธารณะแล้ว และมีรายงานสัญญาณของการโจมตีในวงกว้าง

ผู้ดูแลระบบควรตรวจสอบให้แน่ใจว่าเว็บไซต์ของตนได้รับการอัปเดตเป็น WordPress 7.0.2 หรือ 6.9.5 โดยเร็วที่สุด

ที่มา : Bleepingcomputer