พบช่องโหว่ความปลอดภัยใน All-in-One WP Migration and Backup ปลั๊กอินยอดนิยมสำหรับสำรองและย้ายเว็บไซต์ WordPress ซึ่งอาจเปิดทางให้ผู้โจมตีที่ไม่จำเป็นต้องเข้าสู่ระบบสามารถโจมตีเว็บไซต์ และในบางกรณีอาจนำไปสู่การรันโค้ดจากระยะไกล (Remote Code Execution หรือ RCE) จนสามารถเข้าควบคุมเว็บไซต์ได้
รายละเอียดช่องโหว่
ช่องโหว่ที่พบได้ถูกระบุด้วยรหัส CVE-2026-19949 ซึ่งเป็นช่องโหว่ประเภท Second-order SQL Injection ถูกค้นพบโดย Jack Taylor นักวิจัยด้านความปลอดภัย และรายงานผ่าน Wordfence ในช่วงกลางเดือนสิงหาคม 2026
ปัญหาเกิดขึ้นระหว่างขั้นตอนที่ปลั๊กอินประมวลผลและเขียนข้อมูลฐานข้อมูลใหม่ขณะ Restore Archive โดยมีการจัดการเครื่องหมาย Backslash และเครื่องหมายคำพูดที่ถูก Escape อย่างไม่ถูกต้อง
ผู้โจมตีที่ไม่ได้เข้าสู่ระบบสามารถแทรกข้อมูลที่สร้างขึ้นเป็นพิเศษผ่านระบบ Trackback ของ WordPress จากนั้นข้อมูลดังกล่าวจะยังไม่ทำงานทันที แต่จะรอจนกว่าผู้ดูแลเว็บไซต์จะดำเนินการ Export และ Import เว็บไซต์
เมื่อถึงขั้นตอนดังกล่าว ข้อมูลที่ถูกฝังไว้อาจถูกประมวลผลเป็นคำสั่ง SQL และเปิดเผย Secret Import Key ของปลั๊กอิน หรือ ai1wm_secret_key ผ่าน Comment ที่บุคคลทั่วไปสามารถเข้าถึงได้
การโจมตีไม่ได้เกิดขึ้นในทันที
จุดที่แตกต่างของช่องโหว่นี้คือ Payload ที่ผู้โจมตีฝังไว้จะยังไม่ทำงานทันที แต่จะรอจนกว่าผู้ดูแลเว็บไซต์จะดำเนินการเกี่ยวกับการ Restore หรือ Import ข้อมูล ซึ่งเป็นขั้นตอนที่ทำให้ข้อมูลที่ถูกเตรียมไว้ถูกประมวลผล
แม้เงื่อนไขดังกล่าวดูเหมือนช่วยลดโอกาสที่จะถูกโจมตีทันทีได้ระดับหนึ่งก็ตาม แต่เนื่องจาก All-in-One WP Migration and Backup เป็นปลั๊กอินที่ออกแบบมาสำหรับการ Backup, Restore และย้ายเว็บไซต์โดยตรง การดำเนินการเหล่านี้จึงถือเป็นการใช้งานตามปกติของปลั๊กอิน
สำหรับเว็บไซต์ที่ติดตั้งปลั๊กอินเวอร์ชันที่มีช่องโหว่แต่ปิดการใช้งานอยู่ ความเสี่ยงในการถูกโจมตีจะต่ำกว่า อย่างไรก็ตาม หากมีการเปิดใช้งานปลั๊กอินขึ้นมาอีกครั้ง ก็ยังมีโอกาสถูกโจมตีผ่านช่องโหว่นี้ได้
กว่า 3.25 ล้านเว็บไซต์ยังไม่ได้อัปเดตปลั๊กอิน
All-in-One WP Migration and Backup เป็นหนึ่งในปลั๊กอิน WordPress ที่ได้รับความนิยมสูง ซึ่งมีการติดตั้งใช้งานจริงมากกว่า 5 ล้านเว็บไซต์
ServMask ผู้พัฒนาปลั๊กอินได้รับแจ้งเกี่ยวกับช่องโหว่นี้เมื่อวันที่ 15 สิงหาคม 2026 และออกแพตช์แก้ไขใน All-in-One WP Migration and Backup เวอร์ชัน 7.110 เมื่อวันที่ 20 สิงหาคม 2026
อย่างไรก็ตาม ณ เวลาที่มีการรายงานข่าว มีผู้ใช้ที่อัปเดตปลั๊กอินเป็นเวอร์ชันล่าสุดเพียงประมาณ 35% เท่านั้น ส่งผลให้ยังมีเว็บไซต์อีกกว่า 3.25 ล้านเว็บ ที่ใช้ปลั๊กอินเวอร์ชันซึ่งได้รับผลกระทบจากช่องโหว่นี้อยู่
สิ่งที่ผู้ดูแลเว็บไซต์ WordPress ควรทำ
ผู้ที่ติดตั้งปลั๊กอิน All-in-One WP Migration and Backup ควรตรวจสอบเวอร์ชันปลั๊กอินที่ใช้งานอยู่ และอัปเดตเป็นเวอร์ชัน 7.110 หรือใหม่กว่าโดยเร็วที่สุด
แม้แต่เครื่องมือที่มีหน้าที่ช่วยสำรองและกู้คืนข้อมูลเว็บไซต์ก็สามารถกลายเป็นอีกหนึ่งจุดที่ต้องให้ความสำคัญด้านความปลอดภัยได้ ผู้ดูแลเว็บไซต์จึงควรมีการตรวจสอบและดูแลปลั๊กอินทั้งหมดอย่างต่อเนื่อง นอกจากนี้ การเก็บ Backup แยกจากเว็บไซต์และตรวจสอบว่าสามารถนำกลับมาใช้งานได้จริง จะช่วยให้มีทางเลือกในการกู้คืนเว็บไซต์เมื่อเกิดเหตุไม่คาดคิด และลดผลกระทบต่อการให้บริการได้มากขึ้น
ที่มา: BleepingComputer
