WordPress เพิ่มระบบตรวจสอบความปลอดภัยอัตโนมัติสำหรับ Plugin ทุกเวอร์ชันใหม่ ก่อนปล่อยผ่านระบบอัปเดตของ WordPress.org ไปยังผู้ใช้
จากเดิมที่ WordPress ตรวจสอบ Plugin ก่อนเข้าสู่ Plugin Directory เป็นหลัก ระบบใหม่นี้จะคัดกรองทุกเวอร์ชันที่ออกตามมา เพื่อลดโอกาสที่อัปเดตซึ่งมีความเสี่ยงจะไปถึงเว็บไซต์ของผู้ใช้งาน
David Perez ผู้ร่วมดูแล WordPress Official Plugin Repository Team ระบุว่า แม้ Plugin จะผ่านการตรวจสอบและไม่มีปัญหาในตอนแรก แต่เวอร์ชันที่ออกภายหลังอาจมีช่องโหว่หรือโค้ดอันตรายเพิ่มเข้ามาได้
โดย WordPress ยกกรณีที่ระบบเคยตรวจพบ Backdoor ใน Plugin ที่มีการติดตั้งใช้งานประมาณ 20,000 เว็บไซต์ แต่เนื่องจากเวอร์ชันดังกล่าวยังอยู่ในช่วง Cooldown จึงไม่ถูกกระจายผ่าน WordPress.org Update API ไปยังผู้ใช้
ระบบตรวจสอบทำงานอย่างไร
ตั้งแต่วันที่ 5 มิถุนายน 2026 Plugin และ Theme บน WordPress.org จะต้องผ่านช่วง Cooldown ก่อนกระจายผ่านระบบ Auto-update ภายใต้โครงการ Protect The Shire ปัจจุบันกำหนดไว้ที่ 6 ชั่วโมง จากเดิม 24 ชั่วโมง เพื่อเพิ่มช่วงเวลาก่อนที่เวอร์ชันใหม่จะถูกส่งไปยังผู้ใช้
สำหรับระบบตรวจสอบความปลอดภัยที่เพิ่มเข้ามาครั้งนี้ จะทำงานกับ Plugin ในช่วง Cooldown ตามขั้นตอนดังนี้
- ใช้ AI ร่วมกับ Jetpack Scan วิเคราะห์การเปลี่ยนแปลงของโค้ด
- นำผลมาคำนวณเป็น Security Score เพื่อประเมินระดับความเสี่ยง
- หากมีความเสี่ยงสูง เวอร์ชันดังกล่าวจะถูกบล็อกอัตโนมัติ ส่วนที่ต่ำกว่าเกณฑ์จะเข้าสู่กระบวนการตามปกติ
- Developer จะได้รับอีเมลแจ้งรายละเอียดเมื่อเวอร์ชันถูกบล็อก
อย่างไรก็ตาม Security Score ที่สูงไม่ได้หมายความว่า Plugin มี Malware เสมอไป เพราะระบบยังตรวจจับข้อผิดพลาดในการพัฒนาที่อาจทำให้เกิดช่องโหว่ด้วย
หาก Plugin เวอร์ชันใหม่ถูกบล็อกต้องทำอย่างไร
หากระบบตรวจพบความเสี่ยงและบล็อก Plugin เวอร์ชันใหม่ Developer จะต้องดำเนินการดังนี้
- ตรวจสอบและแก้ไขปัญหาตามผลที่ได้รับ
- ออกเวอร์ชันใหม่เพื่อให้ระบบตรวจสอบอีกครั้ง
- หากคะแนนต่ำกว่าเกณฑ์ความเสี่ยงสูง จะเข้าสู่ช่วง Cooldown และกระบวนการอัปเดตตามปกติ
- หากเห็นว่าผลตรวจไม่ถูกต้อง สามารถติดต่อ Plugins Team เพื่อขอตรวจสอบเพิ่มเติมได้
WordPress ระบุว่า การแก้ไขและออกเวอร์ชันใหม่มักรวดเร็วกว่าการรอ Plugins Team ตรวจสอบคำร้องด้วยตนเอง
ระบบใหม่นี้ช่วยเพิ่มการคัดกรองก่อนอัปเดต Plugin จะไปถึงเว็บไซต์ ลดโอกาสที่อัปเดตซึ่งมีช่องโหว่หรือถูกแทรกโค้ดอันตรายจะถูกส่งไปยังผู้ใช้ อย่างไรก็ตาม เจ้าของเว็บไซต์ยังควรอัปเดตระบบ สำรองข้อมูล และติดตามประกาศด้านความปลอดภัยอย่างสม่ำเสมอ
ดูแลเว็บไซต์ได้มั่นใจยิ่งขึ้นด้วย WordPress Hosting จาก hostatom พร้อมทีม Support คอยให้คำแนะนำและช่วยเหลือตลอด 24 ชั่วโมง
ที่มา: The Hacker News
