wp2shell: ช่องโหว่ RCE ร้ายแรงใน WordPress ที่ผู้ดูแลเว็บต้องรีบอัปเดต

เนื่องจากประเมินว่าความเสี่ยงอยู่ในระดับสูง ทีม WordPress.org จึงเปิดใช้ การอัปเดตอัตโนมัติแบบบังคับ สำหรับเว็บไซต์ที่อยู่ในเวอร์ชันได้รับผลกระทบ อย่างไรก็ตาม ผู้ดูแลระบบควรตรวจสอบด้วยตนเองว่าการอัปเดตเสร็จสมบูรณ์แล้ว

รหัสประจำช่องโหว่

wp2shell ไม่ใช่บั๊กเพียงรายการเดียว แต่เป็นการนำช่องโหว่ 2 รายการมาเชื่อมต่อกัน

• CVE-2026-63030 — ช่องโหว่ route confusion ใน REST API batch endpoint ได้รับการจัดระดับวิกฤต โดยมีคะแนน CVSS 9.8 ทั้งนี้ รายงานแรกจากแหล่งหนึ่งระบุคะแนน 7.5 ก่อนที่ผู้ให้บริการด้านความปลอดภัยหลายรายจะปรับเป็น 9.8
• CVE-2026-60137 — ช่องโหว่ SQL injection ที่ไม่ต้องยืนยันตัวตนในพารามิเตอร์ author__not_in ของ WP_Query จัดอยู่ในระดับความรุนแรงสูง

เวอร์ชันที่ได้รับผลกระทบ

• WordPress 6.9.x: เวอร์ชัน 6.9.0 ถึง 6.9.4
• WordPress 7.0.x: เวอร์ชัน 7.0.0 และ 7.0.1
• สาย 6.8.x: ได้รับการอุดช่องโหว่ในเวอร์ชัน 6.8.6

เวอร์ชันที่ควรอัปเดตเป็นอย่างน้อยคือ 6.9.5, 7.0.2 หรือ 6.8.6 ตามสายเวอร์ชันที่เว็บไซต์ใช้งาน

กลไกการโจมตีทำงานอย่างไร

การโจมตี wp2shell อาศัยช่องโหว่ 2 ขั้นตอนที่นำมาต่อกัน

1. CVE-2026-60137: SQL injection ที่ไม่ต้องล็อกอิน
   ผู้โจมตีสามารถส่งคำขอ HTTP ที่สร้างขึ้นเป็นพิเศษไปยังพารามิเตอร์ author__not_in เพื่อแทรกคำสั่ง SQL ที่เป็นอันตรายเข้าสู่ฐานข้อมูล WordPress โดยไม่ต้องมีข้อมูลรับรองใด ๆ

2. CVE-2026-63030: ความสับสนของเส้นทางใน REST API
   จุดอ่อนอยู่ใน batch endpoint ที่ /wp-json/batch/v1 ซึ่งใช้ประมวลผลคำขอย่อยหลายรายการภายในการเรียกครั้งเดียว ความผิดพลาดในการแยกวิเคราะห์ทำให้อาร์เรย์ภายใน 2 ชุดไม่สอดคล้องกัน เปิดทางให้ผู้โจมตีหลบข้อจำกัดของเส้นทางและเรียก API ภายในที่ตามปกติไม่ควรเข้าถึงได้

เมื่อใช้ช่องโหว่ทั้งสองร่วมกัน ผู้โจมตีสามารถส่งคำขอซ้อนผ่าน batch endpoint เพื่อใช้ประโยชน์จาก SQL injection และยกระดับผลกระทบจนกลายเป็น การรันโค้ดบนเซิร์ฟเวอร์จากระยะไกล โดยอาจทำได้ เช่น

• เขียนข้อมูลตามต้องการ เช่น PHP webshell ลงในระบบไฟล์ผ่านคำสั่ง INTO OUTFILE ของ MySQL หรือ
• แก้ไขค่า options ของ WordPress ที่สามารถนำไปสู่การเรียกใช้ PHP

การโจมตีไม่ต้องใช้การยืนยันตัวตน ไม่ต้องมีปลั๊กอิน และสามารถเกิดขึ้นกับการติดตั้ง WordPress เริ่มต้นได้

ณ วันที่ 18 กรกฎาคม 2026 มีการเผยแพร่เครื่องมือตรวจสอบแบบ proof of concept ที่ wp2shell.com แล้ว และมี PoC สำหรับการโจมตีที่ใช้งานได้เผยแพร่ในวงการ ขณะเดียวกัน ยังไม่มีการยืนยันการโจมตีในวงกว้างในขณะที่มีการรายงานข้อมูลดังกล่าว

ข้อควรรู้เพิ่มเติมคือ persistent object cache เช่น Redis หรือ Memcached อาจลดทอนหรือเปลี่ยนเส้นทางการโจมตีบางส่วนได้ แต่ไม่ได้ลบช่องโหว่พื้นฐานออกไป

สิ่งที่ผู้ดูแลเว็บไซต์ควรทำทันที

1. อัปเดต WordPress โดยเร็วที่สุด
   อัปเกรดเป็น 6.9.5, 7.0.2 หรือ 6.8.6 ตามสายเวอร์ชันที่ใช้งาน เว็บไซต์ส่วนใหญ่ที่เปิดการอัปเดตอัตโนมัติควรได้รับการอัปเดตแบบบังคับแล้ว

2. ตรวจสอบเวอร์ชันด้วยตนเอง
   ไปที่เมนู Dashboard → Updates หรือเปิดไฟล์ wp-includes/version.php เพื่อตรวจสอบเวอร์ชันที่ติดตั้งอยู่

3. ใช้ WAF หรือ virtual patch หากยังอัปเดตไม่ได้
   Cloudflare เปิดใช้กฎ Web Application Firewall (WAF) สำหรับบล็อกช่องทางการโจมตี wp2shell แล้ว โดยการป้องกันจะทำงานเมื่อทราฟฟิกเว็บไซต์ถูกส่งผ่านระบบ Cloudflare

4. ตรวจหาร่องรอยการบุกรุก
   ตรวจสอบไฟล์ผิดปกติใน wp-content/uploads/ บัญชีผู้ดูแลระบบที่ไม่รู้จัก และรายการฐานข้อมูลที่ไม่คุ้นเคย แม้ยังไม่มีการยืนยันการโจมตีเป็นวงกว้าง แต่การมี PoC สาธารณะทำให้มีแนวโน้มว่าการสแกนหาเป้าหมายเริ่มขึ้นแล้ว

5. ทบทวนสิทธิ์ของผู้ใช้ฐานข้อมูล
   ตรวจสอบว่าผู้ใช้ฐานข้อมูลของ WordPress ไม่มีสิทธิ์ FILE ซึ่งเกี่ยวข้องกับการใช้ INTO OUTFILE มาตรการนี้ช่วยจำกัดเส้นทางการยกระดับจาก SQL injection ไปสู่ RCE ได้ แม้ไม่ใช่การแก้ไขช่องโหว่โดยตรง

ทำไมการเป็นซอฟต์แวร์โอเพนซอร์สจึงเพิ่มความเสี่ยง

แม้ยังไม่มีการยืนยันว่ามีการใช้ wp2shell โจมตีจริงในวงกว้าง แต่ลักษณะโอเพนซอร์สของ WordPress ทำให้ช่วงเวลาหลังออกแพตช์มีความเสี่ยงเป็นพิเศษ

• ผู้โจมตีเห็นซอร์สโค้ดได้ทั้งหมด — ใครก็ตามสามารถดาวน์โหลดเวอร์ชันที่แก้ไขแล้ว เปรียบเทียบความแตกต่างกับเวอร์ชันที่มีช่องโหว่ และย้อนวิเคราะห์เส้นทางการโจมตีได้ภายในเวลาไม่นานหลังแพตช์ออก ผู้ให้บริการด้านความปลอดภัยระบุว่าการเปรียบเทียบซอร์สโค้ดสามารถเผยให้เห็นจุดที่ถูกแก้ไขได้อย่างรวดเร็ว
• เวลาตั้งรับของผู้ดูแลระบบสั้นลง — ในซอฟต์แวร์ปิด ผู้โจมตีอาจต้องค้นคว้าช่องโหว่ด้วยตนเอง แต่สำหรับโครงการโอเพนซอร์ส แพตช์อาจทำหน้าที่เสมือนเอกสารเปิดเผยรายละเอียดช่องโหว่ ผู้ดูแลเว็บไซต์จึงต้องเร่งอัปเดตภายในไม่กี่ชั่วโมง ไม่ใช่รอเป็นวัน
• มีเป้าหมายจำนวนมากและคุณภาพการดูแลแตกต่างกัน — WordPress ขับเคลื่อนเว็บไซต์ประมาณ 43% ของเว็บไซต์ทั้งหมด เว็บไซต์จำนวนมากถูกดูแลโดยผู้ให้บริการที่มีระดับความพร้อมด้านความปลอดภัยต่างกัน บางเว็บไซต์ถูกปล่อยทิ้งไว้ ใช้ PHP รุ่นเก่า หรือปิดการอัปเดตอัตโนมัติ ทำให้กลายเป็นเป้าหมายที่เข้าถึงได้ง่ายเมื่อโค้ดโจมตีถูกเผยแพร่
• เปลี่ยน PoC ให้เป็นเครื่องมือโจมตีได้ง่าย — เครื่องมือตรวจสอบและโค้ดตัวอย่างถูกเผยแพร่ภายใน 24 ชั่วโมงหลังออกแพตช์ ผู้โจมตีที่มีทักษะระดับหนึ่งอาจนำไปปรับเป็นเครื่องมือสแกนเว็บไซต์จำนวนมากได้
• ไม่มีด่านยืนยันตัวตน — ห่วงโซ่ช่องโหว่นี้ทำงานก่อนการล็อกอินและโจมตีการติดตั้ง WordPress พื้นฐานได้ ผู้โจมตีไม่จำเป็นต้องมีรหัสผ่าน ไม่ต้องอาศัยปลั๊กอินที่มีช่องโหว่ และไม่ต้องตั้งค่าพิเศษใด ๆ

สรุปคือ สำหรับซอฟต์แวร์โอเพนซอร์สอย่าง WordPress แพตช์อาจกลายเป็นเบาะแสสำคัญของช่องโหว่ไปพร้อมกัน ประกอบกับจำนวนเว็บไซต์ที่มีมากและการดูแลที่ไม่เท่ากัน จึงเกิดช่วงความเสี่ยงสูงตั้งแต่แพตช์เผยแพร่ แม้ยังไม่พบหลักฐานการโจมตีอย่างเป็นทางการก็ตาม