แฮ็กเกอร์กำลังโจมตีโดยใช้ประโยชน์จากช่องโหว่ด้านความปลอดภัยระดับ critical ใน WordPress plugin ชื่อ Burst Statistics เพื่อเข้าถึงสิทธิ์ระดับผู้ดูแลระบบของเว็บไซต์ (more…)

 

แฮ็กเกอร์กำลังใช้ประโยชน์จากช่องโหว่ระดับ Critical ในปลั๊กอิน Breeze Cache สำหรับ WordPress ซึ่งทำให้สามารถอัปโหลดไฟล์ใด ๆ ก็ได้ไปยังเซิร์ฟเวอร์โดยไม่ต้องมีการยืนยันตัวตน (more…)

ช่องโหว่ระดับ Critical ใน add-on Ninja Forms File Uploads ระดับพรีเมียมบนWordPress ทำให้ผู้ไม่หวังดีสามารถอัปโหลดไฟล์ใด ๆ เข้าสู่ระบบได้โดยไม่ต้องผ่านการยืนยันตัวตน ซึ่งอาจนำไปสู่การรันโค้ดที่เป็นอันตรายจากระยะไกลได้

ช่องโหว่นี้มีหมายเลข CVE-2026-0740 และในปัจจุบันกำลังถูกใช้ในการโจมตีจริง โดยข้อมูลจาก Defiant บริษัทด้านความปลอดภัยของ WordPress ระบุว่า Firewall Wordfence สามารถบล็อกการโจมตีได้มากกว่า 3,600 ครั้ง ภายในช่วง 24 ชั่วโมงที่ผ่านมา

Ninja Forms เป็นเครื่องมือสร้างแบบฟอร์มบน WordPress ยอดนิยม ที่มียอดดาวน์โหลดมากกว่า 600,000 ครั้ง ซึ่งช่วยให้ผู้ใช้สามารถสร้างแบบฟอร์มได้โดยไม่ต้องเขียนโค้ด โดยการใช้ Drag-and-drop interface ขณะที่ File Upload extension ซึ่งรวมอยู่ในชุดเครื่องมือเดียวกันนั้นมีผู้ใช้งานอยู่กว่า 90,000 ราย

ช่องโหว่ CVE-2026-0740 มีระดับความรุนแรง Critical ถึง 9.8 จาก 10 คะแนน โดยส่งผลกระทบต่อ Ninja Forms File Upload เวอร์ชันสูงสุดถึง 3.3.26

นักวิจัยจาก Wordfence ระบุว่า ช่องโหว่นี้เกิดจากการขาดการตรวจสอบประเภทไฟล์/นามสกุลของชื่อไฟล์ ทำให้ผู้โจมตีที่ไม่ได้ผ่านการยืนยันตัวตน สามารถอัปโหลดไฟล์ใด ๆ ก็ได้ รวมถึงสคริปต์ PHP และยังสามารถปรับแต่งชื่อไฟล์เพื่อทำ Path Traversal ได้อีกด้วย

Wordfence อธิบายเพิ่มเติมว่า “ในเวอร์ชันที่มีช่องโหว่ ฟังก์ชันดังกล่าวไม่มีการตรวจสอบประเภทไฟล์ก่อนที่จะดำเนินกระบวนการ move ไฟล์”

“หมายความว่า ไม่เพียงแต่ไฟล์ที่ปลอดภัยเท่านั้นที่สามารถอัปโหลดได้ แต่ยังสามารถอัปโหลดไฟล์ที่มีนามสกุล .php ได้อีกด้วย”

“เนื่องจากไม่มีการตรวจสอบความปลอดภัยของชื่อไฟล์ จึงทำให้มีพารามิเตอร์ที่เป็นอันตราย ซึ่งอาจทำให้เกิดการทำ Path Traversal ซึ่งช่วยให้สามารถย้ายไฟล์แปลกปลอมเข้าไปยัง directory หลักของ Webroot ได้โดยตรง

“ทำให้ผู้โจมตีที่ไม่ได้ผ่านการยืนยันตัวตน สามารถอัปโหลดโค้ด PHP ที่เป็นอันตรายได้ตามที่ต้องการ จากนั้นเข้าถึงไฟล์เพื่อเรียกใช้โค้ดที่เป็นอันตรายจากระยะไกลบนเซิร์ฟเวอร์ได้”

ผลกระทบที่อาจเกิดขึ้นจากการโจมตีนั้นร้ายแรงมาก รวมถึงการติดตั้ง web shells และยึดครองเว็บไซต์ทั้งหมดโดยสมบูรณ์

การตรวจพบ และการแก้ไข

ช่องโหว่ดังกล่าวถูกค้นพบโดยนักวิจัยด้านความปลอดภัย Sélim Lanouar (whattheslime) ซึ่งได้ส่งรายงานผ่านโปรแกรม Bug Bounty ของ Wordfence เมื่อวันที่ 8 มกราคม 2026

หลังจากผ่านขั้นตอนการตรวจสอบแล้ว Wordfence ได้เปิดเผยรายละเอียดทั้งหมดให้แก่ผู้พัฒนาในวันเดียวกัน พร้อมทั้งดำเนินการส่งมาตรการลดผลกระทบชั่วคราวผ่าน Rules ของ Firewall ไปยังกลุ่มลูกค้าของตนทันที

ภายหลังการตรวจสอบแพตช์ และการแก้ไขเบื้องต้นเมื่อวันที่ 10 กุมภาพันธ์ 2026 ทางผู้พัฒนาได้ออกเวอร์ชันแก้ไขที่สมบูรณ์ในเวอร์ชัน 3.3.27 ซึ่งเปิดให้ใช้งานมาตั้งแต่วันที่ 19 มีนาคม 2026

เนื่องจาก Wordfence ตรวจพบความพยายามในการโจมตีนับพันครั้งต่อวัน ผู้ใช้ Ninja Forms File Upload จึงควรรีบอัปเกรดให้เป็นเวอร์ชันล่าสุด

 

ที่มา : bleepingcomputer.

พบช่องโหว่ในปลั๊กอิน Smart Slider 3 ของ WordPress ซึ่งมีการใช้งานบนเว็บไซต์มากกว่า 800,000 แห่ง โดยช่องโหว่ดังกล่าวทำให้ผู้ใช้งานระดับ subscriber-level สามารถเข้าถึงไฟล์ใดก็ได้บนเซิร์ฟเวอร์

ผู้โจมตีที่ผ่านการยืนยันตัวตนสามารถใช้ช่องโหว่นี้เพื่อเข้าถึงไฟล์สำคัญ เช่น wp-config.

พบช่องโหว่ประเภท SQL injection ใน Ally ซึ่งเป็น WordPress plugin จาก Elementor ที่ช่วยเรื่องการเข้าถึง และการใช้งานเว็บไซต์ ปัจจุบันมียอดติดตั้งมากกว่า 400,000 ครั้ง ช่องโหว่นี้อาจทำให้ผู้ไม่หวังดีสามารถขโมยข้อมูลสำคัญได้โดยไม่ต้องผ่านการตรวจสอบสิทธิ์ (more…)

แฮ็กเกอร์กำลังใช้ประโยชน์จากช่องโหว่ระดับ critical ในปลั๊กอิน User Registration & Membership ซึ่งติดตั้งอยู่ในเว็บไซต์ WordPress มากกว่า 60,000 เว็บไซต์

ปลั๊กอินดังกล่าวเป็นเครื่องมือสำหรับจัดการระบบสมาชิก และการลงทะเบียน โดยมีฟีเจอร์เด่น ๆ เช่น การสร้างแบบฟอร์มลงทะเบียน,ระบบชำระเงินผ่าน Paypal และ Stripe, การโอนเงินผ่านธนาคาร รวมถึงระบบวิเคราะห์ข้อมูลผู้ใช้งาน (more…)

พบช่องโหว่ระดับความรุนแรงสูงในปลั๊กอิน Advanced Custom Fields: Extended (ACF Extended) สำหรับ WordPress ซึ่งสามารถถูกโจมตีจากระยะไกลโดยผู้โจมตีที่ไม่ต้องผ่านการยืนยันตัวตน โดยทำให้สามารถเข้ายึดสิทธิ์ระดับผู้ดูแลระบบได้

ACF Extended ซึ่งปัจจุบันใช้งานอยู่บนเว็บไซต์กว่า 100,000 แห่ง เป็นปลั๊กอินเฉพาะที่ช่วยขยายขีดความสามารถของปลั๊กอิน Advanced Custom Fields (ACF) ด้วยคุณสมบัติต่าง ๆ สำหรับนักพัฒนา และผู้สร้างเว็บไซต์ระดับสูง (more…)

แฮ็กเกอร์กำลังใช้การโจมตีจากช่องโหว่ที่มีความรุนแรงระดับสูงสุดใน Modular DS plugin ของ WordPress ที่อาจทำให้พวกเขาสามารถ Bypass การยืนยันตัวตนจากระยะไกล และเข้าควบคุมเว็บไซต์ที่มีช่องโหว่ด้วยสิทธิ์ระดับผู้ดูแลระบบได้

(more…)

ผู้โจมตีกำลังใช้ประโยชน์จากช่องโหว่ Privilege Escalation ระดับ Critical (CVE-2025–8489) ใน King Addons for Elementor plugin สำหรับ WordPress ซึ่งช่องโหว่นี้ทำให้ผู้โจมตีสามารถเข้าถึงสิทธิ์ระดับผู้ดูแลระบบได้ในระหว่างขั้นตอนการลงทะเบียน

การโจมตีเริ่มขึ้นตั้งแต่วันที่ 31 ตุลาคม ซึ่งเป็นเวลาเพียงหนึ่งวันหลังจากที่มีการเปิดเผยช่องโหว่ดังกล่าวสู่สาธารณะ ล่าสุด Wordfence ผู้ให้บริการด้านความปลอดภัยสำหรับเว็บไซต์ WordPress รายงานว่าได้บล็อกความพยายามในการโจมตีไปแล้วกว่า 48,400 ครั้ง

King Addons เป็นปลั๊กอินเสริมจาก third-party สำหรับใช้งานร่วมกับ Elementor ซึ่งเป็นปลั๊กอินสร้างหน้าเว็บไซต์แบบภาพยอดนิยมสำหรับเว็บไซต์ WordPress ปัจจุบัน King Addons ถูกใช้งานบนเว็บไซต์ประมาณ 10,000 แห่ง โดยทำหน้าที่เพิ่ม widgets templates และฟีเจอร์เสริมต่าง ๆ

CVE-2025–8489 นี้ถูกพบโดยนักวิจัย Peter Thaleikis โดยเป็นช่องโหว่ registration handler ของ plugin ซึ่งทำให้ผู้ที่ลงทะเบียนสามารถระบุ role ผู้ใช้บนเว็บไซต์ รวมถึง role ผู้ดูแลระบบได้ โดยที่ระบบไม่มีการตรวจสอบ หรือจำกัดสิทธิ์ใด ๆ

จากการตรวจสอบของ Wordfence พบว่าผู้โจมตีใช้วิธีส่ง Crafted Request ไปยังไฟล์ admin-ajax.

พบช่องโหว่ระดับ Critical ในปลั๊กอิน W3 Total Cache (W3TC) บน WordPress ซึ่งอาจทำให้ผู้ไม่หวังดีสามารถใช้ช่องโหว่ดังกล่าวเพื่อเรียกใช้คำสั่ง PHP บนเซิร์ฟเวอร์ได้ เพียงแค่ทำการโพสต์ Comment ที่มี Malicious payload แอบแฝงอยู่

(more…)