CVE-2026-87902: ช่องโหว่ WordPress ถูกโจมตีจริง
CVE-2026-87902 ช่องโหว่ WordPress 7.1.2 ที่ได้คะแนน CVSS 8.1 เผชิญการโจมตีจริงแล้ว พบฮันนีพ็อตตรวจจับคำขอพยายามฝังเว็บเชลล์จาก GitHub
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
- CVE-2026-87902 ช่องโหว่ความรุนแรงระดับ 8.1 ถูกนำไปใช้โจมตีจริงอย่างรวดเร็วหลังการแพทช์
- เซ็นเซอร์ฮันนีพ็อตตรวจพบความพยายามโจมตี 64 ครั้งจากโฮสต์เดียวในรัฐนิวเจอร์ซีย์
- แฮกเกอร์พยายามฝังเว็บเชลล์ที่โฮสต์อยู่บน GitHub ผ่านพารามิเตอร์ pagename
- ควรอัปเดต WordPress เป็นเวอร์ชัน 7.1.2 หรือรุ่นที่ได้รับการแก้ไขทันที
ช่องโหว่ความปลอดภัยรหัส CVE-2026-87902 ซึ่งเป็นข้อบกพร่องในระบบคอร์ของ WordPress ได้ขยับจากการเปิดเผยข้อมูลไปสู่การโจมตีผ่านทราฟฟิกจริงภายในเวลาเพียงราวหนึ่งวันหลังจากมีการปล่อยแพทช์ออกมา โดยช่องโหว่นี้ได้รับการแก้ไขในเวอร์ชัน 7.1.2 และได้คะแนนความรุนแรงอยู่ที่ 8.1 บนมาตรฐาน CVSS v3.1 ซึ่งอนุญาตให้ผู้โจมตีที่ไม่ได้ยืนยันตัวตนสามารถรวมไฟล์ PHP ท้องถิ่นที่อ่านได้ และอาจยกระดับสิทธิ์ไปสู่การรันโค้ดจากระยะไกลได้ ข้อมูลจากเทเลเมทรีที่รายงานโดย Patchstack และ BleepingComputer ชี้ให้เห็นว่าการเปลี่ยนผ่านสู่การโจมตีเกิดขึ้นอย่างรวดเร็วมาก
กลไกการโจมตีอาศัยการเข้ารหัสซ้ำซ้อนแบบ double-encoded traversal ในพารามิเตอร์ pagename ซึ่งสามารถเลี่ยงกระบวนการคัดกรองเบื้องต้นและถูกถอดรหัสโดยฟังก์ชัน get_page_template() ระบบโหลดเทมเพลตยอมรับไฟล์ผู้สมัครที่อยู่นอกไดเรกทอรีธีมหลัก ตราบใดที่ไฟล์นั้นมีอยู่จริง อ่านได้ และลงท้ายด้วยนามสกุล .php หรือ .html นอกจากนี้ การรันโค้ดแบบเต็มรูปแบบยังต้องอาศัยธีมที่ใช้งานอยู่ซึ่งมีไดเรกทอรีหน้าเว็บระดับบนสุด และในเส้นทางที่พบบ่อยจำเป็นต้องเปิดใช้งานการตั้งค่า PHP แบบ register_argc_argv เพื่อให้สามารถใช้ประโยชน์จาก pearcmd.php ได้
กิจกรรมการบุกรุกที่ถูกรายงานระบุว่าผู้โจมตีใช้ช่องโหว่นี้เพื่อพยายามติดตั้งเว็บเชลล์ระยะไกลที่โฮสต์อยู่บนแพลตฟอร์ม GitHub เซ็นเซอร์ฮันนีพ็อตภายในเครือข่าย Previdian บันทึกความพยายามโจมตีได้ถึง 64 ครั้งจากโฮสต์เดียวในรัฐนิวเจอร์ซีย์ รูปแบบดังกล่าวสอดคล้องกับการสแกนหาเป้าหมายแบบฉวยโอกาสตามด้วยการส่งเพย์โหลดไปยังเป้าหมายแรกที่ตอบสนอง หากการติดตั้งประสบความสำเร็จ จะช่วยให้ผู้ดำเนินการสามารถรันคำสั่งแบบโต้ตอบในฐานะผู้ใช้เว็บเซิร์ฟเวอร์ พร้อมเข้าถึงไฟล์กำหนดค่าและข้อมูลทั้งหมดที่กระบวนการนั้นเข้าถึงได้
ภาพประกอบจากคลังภาพสต็อก ไม่ใช่ภาพจากเหตุการณ์จริง
การที่ช่องโหว่ระดับวิกฤตถูกนำมาใช้โจมตีอย่างรวดเร็วภายในเวลาเพียงหนึ่งวันหลังการแพทช์ สะท้อนให้เห็นถึงความเร็วในการพัฒนาเครื่องมือโจมตีของแฮกเกอร์สมัยใหม่ ที่มักจะทำการวิเคราะห์โค้ดแพทช์ (Patch Diffing) ทันทีที่มีการอัปเดตถูกปล่อยออกมา เพื่อหาช่องโหว่และสร้างสคริปต์อัตโนมัติในการกวาดหาเว็บไซต์ที่ยังไม่ได้อัปเดต เจ้าของเว็บไซต์จึงมีความจำเป็นอย่างยิ่งที่จะต้องติดตามข่าวสารความปลอดภัยและอัปเดตระบบทันทีที่มีการแจ้งเตือน
เว็บไซต์ที่ใช้ WordPress เวอร์ชันต่ำกว่า 7.1.2 ล้วนได้รับผลกระทบ โดยทางผู้พัฒนาได้ทำการแบ็กพอร์ตแพทช์แก้ไขย้อนหลังให้แก่ทุกสาขาที่มีการดูแลรักษา เว็บไซต์ที่มีความเสี่ยงสูงที่สุดคือเว็บที่ผสมผสานระหว่างเวอร์ชันที่ยังไม่ได้แพทช์ ธีมที่ได้รับผลกระทบ และการตั้งค่า PHP ที่มีความยืดหยุ่นสูง แคมเปญการโจมตีที่ถูกรายงานไม่ได้เจาะจงกลุ่มอุตสาหกรรมใดอุตสาหกรรมหนึ่ง แต่เป็นการสแกนวงกว้าง ซึ่งหมายความว่าเว็บไซต์ขนาดเล็กและขนาดกลางมีความเสี่ยงถูกโจมตีไม่แพ้เว็บไซต์ขนาดใหญ่
ในขณะที่เขียนรายงานนี้ เครื่องมือค้นหา ZoomEye แสดงผลลัพธ์สินทรัพย์ของแอปพลิเคชัน WordPress จำนวน 7,991,549 รายการ แต่ยังแสดงผลเป็นศูนย์สำหรับรหัสช่องโหว่ CVE-2026-87902 ความไม่สอดคล้องกันระหว่างรอยประทับของผลิตภัณฑ์ที่มีจำนวนมากกับรอยประทับของ CVE ที่ยังเป็นศูนย์ สะท้อนถึงปัญหาความล่าช้าในการจัดทำดัชนี (index lag) มากกว่าที่จะแปลว่ามีความเสี่ยงต่ำ และเป็นเครื่องยืนยันว่าทราฟฟิกการโจมตีกำลังแพร่สะพัดอยู่ก่อนที่การจัดทำดัชนีราย CVE จะตามทันเสียอีก
ผู้ดูแลระบบควรดำเนินการอัปเดตระบบเป็นเวอร์ชัน 7.1.2 หรือเวอร์ชันที่แบ็กพอร์ตสำหรับสาขาที่ติดตั้งอยู่โดยไม่ชักช้า จากนั้นให้ตรวจสอบตัวบ่งชี้การบุกรุกจากแคมเปญดังกล่าว ได้แก่ คำขอที่มีชุดลำดับการท่องไดเรกทอรีในพารามิเตอร์เทมเพลต การดึงข้อมูลขาออกไปยังโดเมนโฮสต์โค้ดจากเว็บเซิร์ฟเวอร์ และไฟล์ PHP ที่ถูกสร้างขึ้นใหม่ หากพบตัวบ่งชี้เหล่านี้ควรทำการหมุนเวียนเปลี่ยนข้อมูลรับรองความปลอดภัยที่ผู้ใช้ PHP สามารถเข้าถึงได้ทันที
ที่มา: Dev.to
พบข้อมูลผิดพลาดในบทความนี้? แจ้งปัญหาบทความนี้
ความคิดเห็น
แสดงความคิดเห็น