นักวิจัยด้านความปลอดภัยเปิดเผยช่องโหว่ระดับ Critical ใน Forminator Forms ปลั๊กอินสร้างฟอร์มยอดนิยมบน WordPress ซึ่งมีการติดตั้งใช้งานมากกว่า 600,000 เว็บไซต์ โดยช่องโหว่นี้อาจเปิดทางให้ผู้โจมตีที่ไม่ได้เข้าสู่ระบบสามารถอัปโหลดไฟล์อันตราย รวมถึงไฟล์ PHP และนำไปสู่การรันโค้ดจากระยะไกล (Remote Code Execution หรือ RCE) จนสามารถเข้าควบคุมเว็บไซต์ได้
รายละเอียดช่องโหว่
ช่องโหว่นี้ถูกระบุในหมายเลข CVE-2026-15748 และได้รับคะแนนความรุนแรง CVSS ที่ 9.8 โดยปัญหาเกิดขึ้นจากฟังก์ชัน handle_file_upload() ตรวจสอบประเภทไฟล์ที่ผู้ใช้อัปโหลดได้ไม่รัดกุมพอ ทำให้ผู้โจมตีสามารถหลบกลไกป้องกันและอัปโหลดไฟล์ที่ไม่ควรได้รับอนุญาต เช่น ไฟล์ PHP ได้
ที่สำคัญ การโจมตีสามารถทำได้โดยไม่จำเป็นต้องมีบัญชีผู้ใช้หรือล็อกอินเข้าสู่ WordPress ก่อน เพียงแค่ส่งข้อมูลผ่านฟอร์มที่มีเงื่อนไขตรงกับช่องโหว่ ก็อาจนำไปสู่การอัปโหลด PHP ที่ผู้โจมตีสร้างขึ้น จากนั้นก็จะเรียกไฟล์ดังกล่าวเพื่อรันโค้ดบนเซิร์ฟเวอร์และเข้าควบคุมเว็บไซต์ได้
อย่างไรก็ตาม ไม่ใช่ว่าทุกเว็บไซต์ที่ติดตั้ง Forminator จะสามารถถูกโจมตีด้วยวิธีนี้ได้ทันที โดยเว็บไซต์ที่มีความเสี่ยงต้องมีฟอร์มซึ่งประกอบด้วยทั้ง File Upload field และ Select field อยู่ด้วย
การตั้งค่าพื้นที่จัดเก็บไฟล์อาจเพิ่มความเสี่ยง
ตามค่าเริ่มต้น Forminator จะจัดเก็บไฟล์ที่อัปโหลดไว้ในไดเรกทอรีที่ได้รับการป้องกันด้วยไฟล์ .htaccess ซึ่งช่วยป้องกันไม่ให้เซิร์ฟเวอร์ประมวลผลไฟล์ PHP ภายในไดเรกทอรีดังกล่าว แต่ความเสี่ยงจะเพิ่มขึ้นหากผู้ดูแลเว็บไซต์กำหนด Custom File Upload Storage ขึ้นมาเอง เนื่องจากตำแหน่งจัดเก็บดังกล่าวอาจไม่ได้รับการป้องกันด้วย .htaccess ในลักษณะเดียวกับค่าเริ่มต้น
หากผู้โจมตีสามารถอัปโหลดไฟล์ PHP ไปยังพื้นที่ดังกล่าวและเข้าถึงไฟล์ผ่านเว็บได้ เว็บเซิร์ฟเวอร์ก็อาจประมวลผลโค้ด PHP ที่ผู้โจมตีเตรียมไว้ ส่งผลให้เกิด Remote Code Execution และนำไปสู่การยึดเว็บไซต์ได้
เวอร์ชัน Forminator ที่ได้รับผลกระทบ
ช่องโหว่นี้ส่งผลกระทบต่อ Forminator เวอร์ชัน 1.56.1 และเวอร์ชันก่อนหน้า ซึ่งได้รับการแก้ไขแล้วใน Forminator 1.56.2 ช่วงปลายเดือนกรกฎาคม 2026 โดยใน Changelog ได้ระบุว่ามีการแก้ไขช่องโหว่ Arbitrary File Upload โดยตรง
สำหรับผู้ดูแลเว็บไซต์ WordPress ที่ใช้งาน Forminator ควรอัปเดตปลั๊กอินเป็นเวอร์ชัน 1.56.2 หรือใหม่กว่าโดยเร็วที่สุด รวมถึงตรวจสอบการตั้งค่า File Upload และพื้นที่จัดเก็บไฟล์ โดยเฉพาะเว็บไซต์ที่กำหนด Custom File Upload Storage เอง
นับว่าเป็นความเสี่ยงที่ผู้ดูแลเว็บไซต์ WordPress ไม่ควรมองข้าม เพราะผู้โจมตีอาจใช้ช่องโหว่เพื่ออัปโหลดไฟล์ PHP โดยไม่ต้องผ่านการยืนยันตัวตน และในบางการตั้งค่าสามารถนำไปสู่การรันโค้ดจนยึดเว็บไซต์ได้
ที่มา: The Hacker News
