เว็บไซต์ WordPress ที่ใช้งานปลั๊กอินยอดนิยมอย่าง OptinMonster, TrustPulse และ PushEngage กำลังเผชิญความเสี่ยงด้านความปลอดภัยครั้งใหญ่ หลังนักวิจัยจาก Sansec ตรวจพบการโจมตีแบบ Supply Chain Attack ที่แฮกเกอร์แทรกโค้ดอันตรายลงในไฟล์ JavaScript ที่ถูกแจกจ่ายผ่าน CDN ของผู้พัฒนา ทำให้เว็บไซต์ที่โหลดไฟล์ดังกล่าวอาจถูกยึดได้โดยไม่รู้ตัว
ปัญหาที่เกิดขึ้น
เมื่อวันที่ 13 มิถุนายน 2026 บริษัทด้านความปลอดภัย Sansec เปิดเผยว่าพบโค้ดอันตรายถูกฝังอยู่ในไฟล์ JavaScript ของปลั๊กอิน WordPress ยอดนิยม 3 ตัว ได้แก่
- OptinMonster
- TrustPulse
- PushEngage
ปลั๊กอินทั้งหมดนี้อยู่ภายใต้การดูแลของบริษัท Awesome Motive และมีการใช้งานรวมกันมากกว่า 1.2 ล้านเว็บไซต์ทั่วโลก โดยเฉพาะ OptinMonster ที่มีผู้ติดตั้งมากกว่า 1 ล้านเว็บไซต์เพียงตัวเดียว
การโจมตีทำงานอย่างไร?
โค้ดอันตรายถูกออกแบบให้ทำงานเฉพาะในกรณีที่มี ผู้ดูแลระบบ WordPress (Administrator) ล็อกอินอยู่ เท่านั้น โดยเมื่อผู้ดูแลระบบเปิดหน้าเว็บไซต์และโหลด JavaScript ที่ถูกดัดแปลง โค้ดจะดำเนินการ
- ใช้สิทธิ์ของผู้ดูแลระบบที่กำลังล็อกอินอยู่
- สร้างบัญชี Administrator ใหม่ให้กับผู้โจมตี
- ติดตั้งปลั๊กอิน Backdoor ที่ซ่อนตัวจากหน้า Dashboard
- ส่งข้อมูลบัญชีและรายละเอียดเว็บไซต์กลับไปยังเซิร์ฟเวอร์ของผู้โจมตี
จุดที่น่ากังวลคือ Backdoor ดังกล่าวถูกออกแบบมาให้ซ่อนตัวจากหน้าแอดมิน ทำให้เจ้าของเว็บไซต์อาจไม่สามารถสังเกตเห็นความผิดปกติได้จาก Dashboard ปกติ
คำแนะนำสำหรับผู้ดูแลเว็บไซต์
- ตรวจสอบบัญชีผู้ดูแลระบบที่ไม่รู้จัก หากพบควรรีบลบทันที
- ตรวจสอบปลั๊กอินและไฟล์บนเซิร์ฟเวอร์ หากพบปลั๊กอินที่ไม่รู้จัก ควรตรวจสอบอย่างละเอียดและลบออกทันที
- เปลี่ยนรหัสผ่าน WordPress Admin, Hosting Control Panel, FTP/SFTP, Database, CDN และบริการภายนอกที่เชื่อมต่อ
- ตรวจสอบ Log การใช้งานที่เชื่อมต่อไปยังโดเมนที่เกี่ยวข้องกับผู้โจมตี
เหตุการณ์ครั้งนี้ถือเป็นตัวอย่างสำคัญของการโจมตีแบบ Supply Chain Attack ที่ไม่ได้โจมตีเว็บไซต์โดยตรง แต่ใช้ประโยชน์จากความน่าเชื่อถือของซอฟต์แวร์และ CDN ที่เว็บไซต์จำนวนมากใช้งานอยู่แล้ว ซึ่งแม้ OptinMonster, TrustPulse และ PushEngage จะเป็นปลั๊กอินที่ได้รับความนิยมสูง แต่ความเสี่ยงอาจเกิดขึ้นได้แม้กับซอฟต์แวร์จากผู้พัฒนารายใหญ่ ดังนั้นผู้ดูแลเว็บไซต์ WordPress ควรตรวจสอบระบบของตนโดยเร็วที่สุด เพื่อป้องกันการถูกยึดสิทธิ์และการฝัง Backdoor ในอนาคต
ที่มา: BleepingComputer
