พบช่องโหว่ความปลอดภัยระดับร้ายแรงในปลั๊กอิน Elementor Pro ซึ่งอาจเปิดทางให้ผู้โจมตีที่ไม่ได้เข้าสู่ระบบสามารถอัปโหลดไฟล์ PHP ที่เป็นอันตรายขึ้นเว็บไซต์ WordPress และนำไปสู่การโจมตีแบบ Remote Code Execution (RCE) หรือการรันโค้ดจากระยะไกลบนเซิร์ฟเวอร์ได้
รายละเอียดช่องโหว่
ช่องโหว่นี้ถูกระบุในรหัส CVE-2026-32475 มีคะแนนความรุนแรง (CVSS) 9.0 โดยช่องโหว่จะอยู่ในฟีเจอร์ File Upload ของ Forms module ใน Elementor Pro เวอร์ชัน 4.2.1 และเวอร์ชันก่อนหน้า ซึ่งมีขั้นตอนตรวจสอบประเภทไฟล์และขั้นตอนนำไฟล์ไปจัดเก็บแยกออกจากกัน แต่ทั้งสองขั้นตอนกลับจัดการกับรายการอัปโหลดไฟล์ที่ไม่มีชื่อไฟล์แตกต่างกัน
ผู้โจมตีจึงสามารถสร้างคำขออัปโหลดแบบ multipart ที่ออกแบบมาเป็นพิเศษ โดยส่งรายการแรกเป็นไฟล์ว่าง และตามด้วยไฟล์ PHP ที่เป็นอันตราย ส่งผลให้ขั้นตอนตรวจสอบหยุดทำงานก่อนที่จะตรวจสอบไฟล์ PHP แต่ขั้นตอนประมวลผลไฟล์ยังคงทำงานต่อและนำไฟล์ดังกล่าวไปเก็บไว้บนเซิร์ฟเวอร์
ไฟล์ที่ผ่านการอัปโหลดจะถูกจัดเก็บภายในไดเรกทอรี wp-content/uploads/elementor/forms/ ซึ่งเป็นตำแหน่งที่สามารถเข้าถึงผ่านเว็บได้ หากผู้โจมตีสามารถระบุตำแหน่งของไฟล์ PHP และเรียกใช้งานไฟล์ดังกล่าวได้สำเร็จ PHP บนเซิร์ฟเวอร์ก็จะประมวลผลโค้ดภายในไฟล์ ทำให้ผู้โจมตีสามารถรันโค้ดด้วยสิทธิ์ของ Web Server ได้
เว็บไซต์แบบไหนที่เสี่ยงถูกโจมตี?
แม้ช่องโหว่จะมีความรุนแรงสูง แต่ไม่ได้หมายความว่าเว็บไซต์ที่ติดตั้ง Elementor Pro ทุกแห่งจะสามารถถูกโจมตีด้วยวิธีนี้ได้ โดย Elementor ได้ระบุว่าเว็บไซต์ที่อยู่ในเงื่อนไขเสี่ยงคือ
- เปิดใช้งานช่อง File Upload
- เปิดตัวเลือก Multiple File Upload (ในค่าเริ่มต้นจะถูกปิดไว้)
การโจมตีนี้ไม่จำเป็นต้องมีบัญชีผู้ใช้ เนื่องจากข้อมูลที่จำเป็นสำหรับส่งคำขอไปยังฟอร์มสามารถหาได้จากหน้าเว็บไซต์ที่เผยแพร่สู่สาธารณะ จึงทำให้ช่องโหว่นี้สามารถนำไปสู่ Unauthenticated Remote Code Execution ได้ในเว็บไซต์ที่มีการตั้งค่าตรงตามเงื่อนไข
คำแนะนำสำหรับผู้ใช้ Elementor Pro
ผู้ดูแลเว็บไซต์ควรอัปเดตปลั๊กอิน Elementor Pro เป็นเวอร์ชัน 4.2.2 หรือใหม่กว่าทันที โดยเฉพาะเว็บไซต์ที่ใช้งาน Form พร้อมฟังก์ชัน File Upload
นอกจากนี้ ควรตรวจสอบไดเรกทอรี wp-content/uploads/elementor/forms/ เพื่อค้นหาไฟล์ผิดปกติ โดยเฉพาะไฟล์ .php หรือไฟล์ประเภทอื่นที่ไม่ควรอยู่ในโฟลเดอร์ดังกล่าว เนื่องจากการอัปเดตปลั๊กอินจะเป็นการปิดช่องโหว่ แต่ไม่ได้ลบไฟล์อันตรายที่อาจถูกอัปโหลดเข้ามาก่อนหน้านี้
เหตุการณ์นี้เป็นอีกหนึ่งเหตุผลที่ผู้ดูแลเว็บไซต์ WordPress ไม่ควรมองข้ามการอัปเดตปลั๊กอิน โดยเฉพาะปลั๊กอินที่มีฟังก์ชันรับไฟล์จากผู้ใช้งาน เพราะอาจกลายเป็นช่องทางที่ผู้โจมตีใช้เข้าถึงระบบได้ โดยผู้ดูแลควรมีการตรวจสอบเวอร์ชันและไฟล์ภายในเว็บไซต์เป็นประจำ รวมถึงติดตามประกาศด้านความปลอดภัยจากผู้พัฒนา เพื่อให้สามารถรับมือกับช่องโหว่ใหม่ ๆ ได้ตั้งแต่เนิ่น ๆ
ที่มา: BleepingComputer
