แฮ็กเกอร์กำลังมุ่งโจมตีช่องโหว่ Remote Code Execution (RCE) ใน WordPress Core ซึ่งอาจทำให้เว็บไซต์เสี่ยงต่อการถูกโจมตีระหว่างการอัปเดตซอฟต์แวร์ โดยข้อมูล Threat Intelligence ของ Wordfence ที่นำมาอ้างอิงระบุว่า มีความพยายามโจมตีที่ถูกบล็อกทั้งหมด 60,471 ครั้งภายใน 24 ชั่วโมง
ตัวเลขดังกล่าวเป็นจำนวนความพยายามโจมตี ไม่ใช่จำนวนเว็บไซต์ที่ยืนยันว่าถูกโจมตีสำเร็จ และยังไม่สามารถระบุได้ว่ามีเว็บไซต์แต่ละแห่งตกเป็นเป้าหมายจำนวนเท่าใด
WordPress เปิดตัวเวอร์ชัน 7.1.4 เมื่อวันที่ 28 ตุลาคม 2026 เพื่อแก้ไขช่องโหว่ด้านความปลอดภัยทั้งหมด 22 รายการ โดยการอัปเดตนี้แก้ไขช่องโหว่ที่อาจนำไปสู่การรันโค้ดที่เป็นอันตราย รวมถึงช่องโหว่ Stored Cross-Site Scripting (XSS), การเปิดเผยข้อมูล และปัญหาด้านสิทธิ์การเข้าถึง
ประกาศอย่างเป็นทางการของ WordPress แนะนำให้ผู้ดูแลระบบอัปเดตโดยทันที พร้อมระบุว่า Umut Bayram เป็นนักวิจัยที่รายงานช่องโหว่ในกระบวนการอัปเกรดดังกล่าว
ช่องโหว่ RCE ใน WordPress
ช่องโหว่นี้เกี่ยวข้องกับ Race Condition ซึ่งหมายความว่าผู้โจมตีต้องเข้าถึงกระบวนการติดตั้งชั่วคราวให้ตรงกับช่วงเวลาที่เหมาะสม ต่างจากช่องโหว่ที่ต้องใช้รหัสผ่านที่ถูกขโมย หรือบัญชีผู้ใช้ที่มีอยู่แล้ว เพราะช่องโหว่นี้สามารถตกเป็นเป้าหมายการโจมตีได้โดยไม่ต้องเข้าสู่ระบบ แต่การ Exploit ให้สำเร็จขึ้นอยู่กับเงื่อนไขที่เกิดขึ้นระหว่างการอัปเกรด WordPress Core แบบเต็มรูปแบบ
ระหว่างกระบวนการดังกล่าว WordPress จะแตกไฟล์อัปเดตลงในไดเรกทอรีชั่วคราวสำหรับเตรียมการติดตั้ง (Staging Directory) โดยชื่อโฟลเดอร์ที่สามารถคาดเดาได้ และไฟล์ติดตั้งที่เข้าถึงได้จากภายนอก อาจทำให้ตัวติดตั้ง WordPress ที่แยกจากเว็บไซต์หลักถูกเปิดเผยในช่วงเวลาสั้น ๆ หากผู้โจมตีเข้าถึงตัวติดตั้งดังกล่าวได้ ก็อาจเชื่อมต่อตัวติดตั้งเข้ากับฐานข้อมูลที่ตนเองควบคุม ซึ่งเปิดทางไปสู่การรันโค้ดบนเซิร์ฟเวอร์
รายงานก่อนหน้านี้ เกี่ยวกับการอัปเดตความปลอดภัย WordPress 7.1.4 อธิบายว่า Patch ดังกล่าวเพิ่มอักขระแบบสุ่ม 16 ตัวลงในชื่อโฟลเดอร์ชั่วคราว คืนค่ากลไกการจัดการไฟล์ index[.]php เพื่อป้องกันการเข้าถึง และป้องกันไม่ให้มีการคัดลอกไฟล์ wp-config[.]php จากไดเรกทอรีที่กำลังใช้งานอยู่ การเปลี่ยนแปลงเหล่านี้มุ่งแก้ไขปัญหาในกระบวนการ Staging ที่อาจถูกเปิดเผย ไม่ใช่ช่องโหว่ใน Plugin ของ Third-Party
โดยปกติแล้ว ช่วงเวลาที่สามารถโจมตีได้จะมีเพียงไม่กี่วินาที ทำให้การ Exploit เป็นเรื่องยาก แต่ไม่ได้หมายความว่าเป็นไปไม่ได้ การส่ง Request ซ้ำ ๆ ช่วยเพิ่มโอกาสให้ผู้โจมตีพบเว็บไซต์ในช่วงที่ไฟล์อัปเดตกำลังถูกเปิดเผย Wordfence รายงานว่า พบความพยายาม Exploit หลังจากมีการเผยแพร่ Security Update ซึ่งแสดงให้เห็นว่าผู้โจมตียังคงทดสอบช่องโหว่นี้ แม้จะมีข้อจำกัดด้านจังหวะเวลาในการโจมตีก็ตาม
Cybersecuritynews ยังเคยรายงานเกี่ยวกับความพยายาม Exploit ช่องโหว่ WordPress ที่กำลังเกิดขึ้น โดยประเด็นสำคัญคือการแยกความแตกต่างระหว่าง Request ที่ถูก Firewall บล็อกกับการรันโค้ดสำเร็จ จำนวน Request ที่สูงสะท้อนให้เห็นถึงกิจกรรมการโจมตี แต่ไม่ได้พิสูจน์ว่าผู้โจมตีสามารถเข้าถึงเว็บไซต์ได้สำเร็จในจำนวนที่ใกล้เคียงกัน
ประกาศจาก Wordfence ที่นำมาอ้างอิงระบุว่า ลูกค้าระดับ Premium, Care และ Response ได้รับ Firewall Rule เมื่อวันที่ 28 ตุลาคม หรือประมาณ 3 ชั่วโมงหลังจากมีการเผยแพร่ข้อมูลช่องโหว่ ส่วนผู้ใช้ฟรีมีกำหนดได้รับ Rule ดังกล่าวในวันที่ 27 พฤศจิกายน ตามนโยบายการเผยแพร่ที่ล่าช้า 30 วัน ผู้ดูแลระบบไม่ควรรอให้ได้รับการป้องกันดังกล่าวก่อนติดตั้ง Patch
อัปเดต WordPress และตรวจสอบการป้องกัน
เจ้าของเว็บไซต์ควรเปิด Dashboard เลือกเมนู Updates และตรวจสอบว่าติดตั้ง WordPress 7.1.4 แล้ว ส่วนเว็บไซต์ที่ใช้ WordPress เวอร์ชันเก่าควรติดตั้ง Security Update ที่ตรงกับเวอร์ชันของตนเอง เอกสารเวอร์ชันอย่างเป็นทางการระบุรายการเวอร์ชันที่ได้รับ Patch ซึ่งรวมถึง 7.0.8, 6.9.11 และ Patch ที่ Backport ไปยังเวอร์ชันเก่าจนถึง 4.7.39 ขณะที่ WordPress เวอร์ชัน 4.6 และเก่ากว่าจะไม่ได้รับ Security Update อีกต่อไป
ระบบ Automatic Background Updates ควรดำเนินการติดตั้งอัปเดตนี้ให้กับเว็บไซต์ที่มีการตั้งค่ารองรับ แต่ผู้ดูแลระบบควรตรวจสอบว่าการอัปเดตเสร็จสมบูรณ์แล้ว แทนที่จะสันนิษฐานว่าเว็บไซต์ได้รับการป้องกันเรียบร้อย เอกสารยังระบุชัดเจนว่ามีเพียง WordPress เวอร์ชันล่าสุดเท่านั้นที่ยังได้รับการสนับสนุนอย่างต่อเนื่อง การแก้ไขช่องโหว่ในเวอร์ชันเก่ามีไว้เพื่อรองรับการอัปเดตด้านความปลอดภัย ไม่ใช่เหตุผลในการเลื่อนการบำรุงรักษาระบบออกไป
ผู้ดูแลระบบยังสามารถจำกัดการเข้าถึง wp-content/upgrade/ จากภายนอกผ่านเว็บ เพื่อเพิ่มระดับการป้องกันได้อีกทางหนึ่ง เนื่องจาก Firewall ที่ทำงานผ่าน Plugin เพียงอย่างเดียวอาจไม่สามารถป้องกันตัวติดตั้งที่ถูกแตกไฟล์ออกมาได้ เพราะตัวติดตั้งดังกล่าวโหลดแยกจากเว็บไซต์หลัก ดังนั้น การติดตั้ง Security Update ของ WordPress Core จึงยังคงเป็นวิธีแก้ไขหลักสำหรับช่องโหว่ที่เกิดขึ้นระหว่างกระบวนการอัปเกรดนี้
ที่มา : Cybersecuritynews
You must be logged in to post a comment.