หน่วยงาน CISA (Cybersecurity and Infrastructure Security Agency) ของสหรัฐฯ ยืนยันว่าช่องโหว่ SQL Injection ใน WordPress Core ที่ระบุเป็น CVE-2026-60137 กำลังถูกใช้โจมตีจริงในวงกว้าง และเมื่อเชื่อมโยง (Chain) เข้ากับช่องโหว่ Interpretation Conflict อีกจุดหนึ่งใน WordPress Core คือ CVE-2026-63030 จะกลายเป็นช่องทางให้ผู้โจมตีที่ไม่ต้องมีบัญชีผู้ใช้งานใดๆ สามารถรันคำสั่งจากระยะไกล (Unauthenticated Remote Code Execution) บนเว็บไซต์ WordPress ที่ติดตั้งแบบค่าเริ่มต้นได้ทันที
ช่องโหว่ทั้งสองรายการนี้ถูกเรียกในวงการวิจัยด้านความปลอดภัยว่า "wp2shell" และปัจจุบันมี Exploit Code เผยแพร่สู่สาธารณะแล้ว ทำให้ความเสี่ยงต่อการถูกโจมตีเพิ่มขึ้นอย่างมาก
รายละเอียดช่องโหว่
- CVE-2026-60137 เป็นช่องโหว่ SQL Injection ที่เกิดขึ้นเมื่อธีมหรือปลั๊กอินไม่ตรวจสอบข้อมูล Input ที่ไม่น่าเชื่อถือก่อนนำไปใช้ใน Query ฐานข้อมูล ทำให้ผู้โจมตีสามารถแทรกคำสั่ง SQL เพื่อดึงหรือแก้ไขข้อมูลในฐานข้อมูลได้
- CVE-2026-63030 เป็นช่องโหว่ประเภท Interpretation Conflict ใน WordPress Core ซึ่งเกิดจากความแตกต่างในการตีความข้อมูลระหว่างส่วนต่างๆ ของระบบ
- เมื่อนำสองช่องโหว่นี้มาเชื่อมโยงกัน ผู้โจมตีที่ไม่มีบัญชีผู้ใช้งานและไม่ต้องผ่านเงื่อนไขใดๆ ล่วงหน้า สามารถรันคำสั่งบนเซิร์ฟเวอร์ได้โดยตรง ถือเป็นระดับความรุนแรงสูงสุดในกลุ่มช่องโหว่เว็บแอปพลิเคชัน
ระบบและเวอร์ชันที่ได้รับผลกระทบ
- CVE-2026-60137 กระทบ WordPress Core เวอร์ชัน 6.8.x ก่อน 6.8.6, เวอร์ชัน 6.9.x ก่อน 6.9.5 และเวอร์ชัน 7.0.x ก่อน 7.0.2
- CVE-2026-63030 กระทบ WordPress Core เวอร์ชัน 6.9.x ก่อน 6.9.5 และเวอร์ชัน 7.0.x ก่อน 7.0.2
- CISA เพิ่ม CVE-2026-63030 เข้าสู่บัญชี Known Exploited Vulnerabilities (KEV) เมื่อวันที่ 21 กรกฎาคม 2026 ยืนยันว่ามีการโจมตีจริงเกิดขึ้นแล้ว
ผลกระทบที่อาจเกิดขึ้น
- อ่านและดึงข้อมูลจากฐานข้อมูล เว็บไซต์ รวมถึงข้อมูลผู้ใช้งาน ข้อมูลลูกค้า และข้อมูลระบบภายใน
- ขโมย Credential ที่จัดเก็บอยู่ในฐานข้อมูลของเว็บไซต์
- ฝัง Backdoor หรือ Web Shell เพื่อคงการเข้าถึงระบบไว้ในระยะยาว แม้จะอัปเดตแพตช์ภายหลัง
- ทำให้เว็บไซต์หยุดให้บริการ จากการโจมตีที่กระทบต่อความสมบูรณ์ของฐานข้อมูลหรือระบบ
- ความเสี่ยงลุกลามไปยังระบบอื่น หากเว็บไซต์ WordPress เชื่อมต่อกับระบบภายในองค์กรหรือใช้ฐานข้อมูลร่วมกับแอปพลิเคชันอื่น
สิ่งที่องค์กรควรทำ
- อัปเดต WordPress Core เป็นเวอร์ชัน 6.8.6, 6.9.5 หรือ 7.0.2 ขึ้นไปโดยทันที เนื่องจากมี Exploit Code เผยแพร่สู่สาธารณะแล้ว
- ตรวจสอบธีมและปลั๊กอินทั้งหมด ว่าอัปเดตเป็นเวอร์ชันล่าสุดและใช้งานเฉพาะที่จำเป็น เพื่อลดพื้นผิวการโจมตี
- ตรวจสอบ Log และร่องรอยการบุกรุกย้อนหลัง โดยเฉพาะการเรียก Query ผิดปกติหรือไฟล์ที่ถูกแก้ไข/สร้างขึ้นใหม่โดยไม่ทราบที่มา
- หน่วยงานที่อยู่ภายใต้กรอบ FCEB ของสหรัฐฯ ต้องแก้ไขภายในวันที่ 4 สิงหาคม 2026 ตาม Binding Operational Directive (BOD) 26-04 — องค์กรไทยที่มีเว็บไซต์ WordPress ควรใช้กรอบเวลานี้เป็นมาตรฐานเร่งด่วนเช่นกัน แม้จะไม่อยู่ภายใต้ข้อบังคับโดยตรง
แนวทางลดความเสี่ยงระยะยาว
1. ใช้ Web Application Firewall (WAF)
เพื่อกรองและบล็อก Payload ลักษณะ SQL Injection ก่อนเข้าถึงแอปพลิเคชัน โดยเฉพาะเว็บไซต์ที่ใช้ WordPress เป็นระบบหลัก
2. จำกัดสิทธิ์ของบัญชีฐานข้อมูล
ให้บัญชีที่ WordPress ใช้เชื่อมต่อฐานข้อมูลมีสิทธิ์เท่าที่จำเป็นเท่านั้น เพื่อลดผลกระทบหากถูกโจมตีสำเร็จ
3. ติดตาม Known Exploited Vulnerabilities (KEV) Catalog ของ CISA อย่างสม่ำเสมอ
เพื่อจัดลำดับความสำคัญของการแพตช์ตามช่องโหว่ที่มีการโจมตีจริงแล้ว
4. ทำ Patch Management ที่มีกระบวนการชัดเจนสำหรับเว็บไซต์ CMS
เนื่องจาก WordPress เป็นระบบที่ถูกใช้อย่างแพร่หลายและมักถูกเลือกเป็นเป้าหมายทันทีที่มีช่องโหว่ระดับ Critical เปิดเผยสู่สาธารณะ
5. สำรองข้อมูลเว็บไซต์และฐานข้อมูลอย่างสม่ำเสมอ
เพื่อให้สามารถกู้คืนระบบได้รวดเร็วหากถูกโจมตีสำเร็จ
วิเคราะห์ในมุมมองจาก TXEC
ช่องโหว่ wp2shell เป็นตัวอย่างชัดเจนของความเสี่ยงจากการเชื่อมโยงช่องโหว่ (Vulnerability Chaining) ที่แต่ละจุดอาจดูมีความรุนแรงปานกลางเมื่อพิจารณาแยกกัน แต่เมื่อนำมาใช้ร่วมกันกลับกลายเป็นช่องทาง RCE แบบไม่ต้อง Authenticate ซึ่งเป็นระดับความเสี่ยงสูงสุด
สิ่งที่ TXEC อยากเน้นย้ำคือ WordPress เป็นระบบ CMS ที่ถูกใช้งานอย่างแพร่หลายในองค์กรไทย ทั้งเว็บไซต์หลักและเว็บไซต์รองของหน่วยงาน การที่มี Exploit Code เผยแพร่สู่สาธารณะแล้วหมายความว่าการโจมตีสามารถเกิดขึ้นแบบอัตโนมัติเป็นวงกว้างได้ในเวลาอันสั้น องค์กรที่มีเว็บไซต์ WordPress ไม่ควรรอรอบอัปเดตตามปกติ แต่ควรเร่งแพตช์ทันทีเช่นเดียวกับที่หน่วยงานรัฐสหรัฐฯ ถูกกำหนดกรอบเวลาไว้
รู้ก่อน ตรวจพบเร็ว ลดความเสียหายได้มากกว่า
[ แหล่งอ้างอิง: CISA, BleepingComputer, Rapid7, CyberSecurityNews, GBHackers ]