พบช่องโหว่ระดับ Critical ใน Avada ธีม WordPress ยอดนิยม ซึ่งอาจเปิดทางให้ผู้โจมตีรันโค้ด PHP บน Server ได้โดยไม่ต้อง Log in หรือหลอกให้ผู้ดูแลเว็บไซต์คลิกลิงก์ หากโจมตีสำเร็จ เว็บไซต์อาจถูกยึดควบคุมและนำไปใช้ดำเนินกิจกรรมที่เป็นอันตรายได้
ช่องโหว่ Avada กระทบใครบ้าง และรุนแรงอย่างไร
ช่องโหว่นี้ได้รับรหัส CVE-2026-18431 และมีคะแนนความรุนแรง CVSS 9.8 จาก 10 โดยส่งผลกระทบต่อซอฟต์แวร์เวอร์ชันต่อไปนี้
- Avada เวอร์ชัน 7.16 และเก่ากว่า
- Fusion Builder เวอร์ชัน 3.16 และเก่ากว่า
CVE-2026-18431 เกิดจากการนำจุดอ่อนด้านความปลอดภัย 6 ส่วนมาใช้ร่วมกันตามลำดับ ครอบคลุมทั้งการตรวจสอบสิทธิ์ การตรวจสอบข้อมูล ขอบเขตความน่าเชื่อถือของข้อมูล และการจัดการไฟล์
เมื่อดำเนินการครบทุกขั้นตอน ผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนจะสามารถเขียนไฟล์ PHP ลงบน Server และสั่งให้ไฟล์ดังกล่าวทำงานได้
โดยไม่ต้องอาศัยการคลิกจากผู้ใช้งาน จึงถูกจัดเป็นการโจมตีแบบ Zero-click
หากโจมตีสำเร็จ ผู้โจมตีอาจติดตั้ง Malware เข้าถึงฐานข้อมูล เพิ่มบัญชี Admin ที่ไม่ได้รับอนุญาต หรือเปลี่ยนเส้นทางผู้เข้าชมไปยังเว็บไซต์อันตรายได้
อย่างไรก็ตาม การโจมตีจะเกิดขึ้นได้เมื่อเว็บไซต์มีเงื่อนไขต่อไปนี้ครบถ้วน
- ใช้งาน Avada เวอร์ชันที่ได้รับผลกระทบ
- ติดตั้งและเปิดใช้งาน Fusion Builder เวอร์ชันที่ได้รับผลกระทบ
- มีเนื้อหาบางรูปแบบที่ผู้ดูแลเว็บไซต์สร้างไว้
เงื่อนไขดังกล่าวช่วยจำกัดจำนวนเว็บไซต์ที่อาจถูกโจมตี แต่เว็บไซต์ที่ยังใช้งาน Avada และ Fusion Builder เวอร์ชันเก่ายังคงควรอัปเดต
โดยเร็วที่สุด
Wordfence พบช่องโหว่ด้วย AI ภายในประมาณ 2 ชั่วโมง
ทีมวิจัยของ Wordfence ตรวจพบช่องโหว่นี้ด้วยระบบ AI ภายในที่ชื่อว่า Argus ซึ่งสามารถค้นหาจุดอ่อนทั้ง 6 ส่วน เรียบเรียงขั้นตอนการโจมตี และสร้างโค้ด Proof of Concept เพื่อยืนยันช่องโหว่ได้ภายในเวลาประมาณ 2 ชั่วโมง
Wordfence ตรวจพบช่องโหว่เมื่อวันที่ 30 กรกฎาคม 2026 และส่งรายละเอียดให้ ThemeFusion ผู้พัฒนา Avada และ Fusion Builder
เมื่อวันที่ 5 สิงหาคม 2026 ก่อนที่ผู้พัฒนาจะยืนยันรายงานและออกแพตช์แก้ไข
ขณะนี้ Wordfence ยังไม่เปิดเผยรายละเอียดทางเทคนิคทั้งหมด เพื่อให้ผู้ดูแลเว็บไซต์มีเวลาอัปเดตซอฟต์แวร์ก่อนที่ข้อมูลจะถูกนำไปใช้สร้างเครื่องมือโจมตี
Avada และ Fusion Builder ออกแพตช์แล้ว
ThemeFusion แก้ไขช่องโหว่ CVE-2026-18431 แล้วในเวอร์ชันต่อไปนี้
- Avada 7.16.1
- Fusion Builder 3.16.1
ผู้ดูแลเว็บไซต์ควรตรวจสอบและอัปเดตทั้ง Avada และ Fusion Builder ให้เป็นเวอร์ชันล่าสุด เนื่องจากการโจมตีต้องอาศัยจุดอ่อนจากทั้งสองส่วนประกอบร่วมกัน
ดูแลเว็บไซต์ WordPress ให้พร้อมรับมือช่องโหว่
Theme และ Plugin ช่วยเพิ่มความสามารถให้เว็บไซต์ WordPress แต่หากไม่ได้รับการอัปเดตอย่างสม่ำเสมอ ก็อาจกลายเป็นช่องทางให้ผู้โจมตีเข้าถึงเว็บไซต์ได้ การเลือกใช้ WordPress Hosting ที่มีเครื่องมือช่วยจัดการและระบบรักษาความปลอดภัย จึงช่วยให้ดูแลเว็บไซต์ได้สะดวกและรัดกุมมากขึ้น
ติดต่อเราได้ที่
📞 0-2107-3466
❤️ Website: hostatom.com
💚 Line: @hostatom
ที่มา : bleepingcomputer
