พบการโจมตีอย่างรุนแรงจากกลุ่มแฮกเกอร์ที่มุ่งเป้าไปยังช่องโหว่ระดับวิกฤตรหัส CVE-2026-63030 และ CVE-2026-60137 (หรือที่รู้จักในชื่อชุดช่องโหว่ “wp2shell”) ซึ่งส่งผลกระทบโดยตรงต่อระบบแกนหลัก (WordPress Core) โดยแฮกเกอร์ใช้ช่องโหว่นี้ในการเจาะระบบเพื่อติดตั้ง Web Shell (เครื่องมือควบคุมเซิร์ฟเวอร์ระยะไกล) และปลั๊กอินที่เป็นอันตราย

รายละเอียดการโจมตี

• กลไกการเจาะระบบ: แฮกเกอร์อาศัยช่องโหว่จากการทำงานของฟีเจอร์ Batch-processing ในระบบ WordPress REST API ทำให้สามารถสั่งรันโค้ดอันตรายจากระยะไกล (Remote Code Execution – RCE) ได้ทันทีโดยไม่จำเป็นต้องล็อกอินหรือยืนยันตัวตน (Unauthenticated)
• การปล่อยโค้ดต้นแบบ (PoC): ช่องโหว่นี้ถูกเปิดเผยต่อสาธารณะโดยบริษัทความปลอดภัย SearchLight Cyber และหลังจากนั้นเพียงไม่นาน ก็เริ่มมีโค้ดทดสอบการเจาะระบบ (Proof-of-Concept) หลุดออกมา ทำให้แฮกเกอร์ทั่วโลกเริ่มทำการสแกนและโจมตีทันที

พฤติกรรมที่พบจากการโจมตี (รายงานโดย Wiz, SANS และ Defiant)

1. ติดตั้งปลั๊กอินอันตรายและ Web Shell: แฮกเกอร์จะอัปโหลดปลั๊กอินแปลกปลอมเพื่อเปิดช่องทางสั่งการทางไกล และสร้างไฟล์ PHP Web Shell ซ่อนไว้ในโฟลเดอร์ /wp-content/cache/ โดยสุ่มชื่อไฟล์เพื่อใช้เป็นรหัสผ่านในการเข้าถึง หากคนนอกพยายามเข้าตรงๆ จะเจอหน้าหลอกว่า “404 Not Found”
2. ขโมยข้อมูลระบบ: มีการใช้เทคนิค Local File Inclusion (LFI) เพื่อเข้าไปอ่านไฟล์ wp-config.php หวังขโมยรหัสผ่านฐานข้อมูล (Database Credentials) และคีย์ความปลอดภัยของระบบ
3. สร้างบัญชีผู้ดูแลระบบปลอม: แฮกเกอร์บางกลุ่มเริ่มสร้างบัญชีแอดมิน (Rogue Administrator Accounts) ทิ้งไว้ในระบบเพื่อให้สามารถกลับเข้ามาควบคุมเว็บได้ตลอดเวลา แม้จะปิดช่องโหว่ไปแล้ว

สถานการณ์ล่าสุดและแนวทางแก้ไข

• การอัปเดตระบบ: ทาง WordPress ได้ออกตัวอัปเดตฉุกเฉินในเวอร์ชัน 7.0.2, 6.9.5 และ 6.8.6 พร้อมทั้งสั่งเปิดระบบอัปเดตอัตโนมัติ (Automatic Security Updates) ให้กับเว็บไซต์ที่ยังรองรับ
• สถิติการป้องกัน: จากการตรวจสอบเว็บไซต์ตัวอย่างกว่า 124,580 แห่ง พบว่ามีประมาณ 81.6% ที่ได้รับการอัปเดตแพตช์ความปลอดภัยเรียบร้อยแล้ว แต่อีกเกือบ 20% ยังคงเสี่ยงโดนเจาะ

คำแนะนำสำหรับผู้ดูแลเว็บไซต์ WordPress:

1. ตรวจสอบเวอร์ชันของ WordPress และกดอัปเดตให้เป็นเวอร์ชันล่าสุดทันที
2. ตรวจสอบไฟล์ในโฟลเดอร์ /wp-content/cache/ ว่ามีไฟล์ PHP แปลกปลอมที่เพิ่งถูกสร้างขึ้นหรือไม่
3. ตรวจสอบรายชื่อผู้ดูแลระบบ (Users) ว่ามีบัญชีแปลกปลอมโผล่มาหรือไม่
4. ตรวจสอบประวัติล็อก (Logs) และรายชื่อปลั๊กอินที่ติดตั้งอยู่ในปัจจุบันเพื่อหาความผิดปกติ

ที่มา bleepingcomputer