WordPress ยังคงมีความเสี่ยงถูกโจมตีในระหว่างติดตั้งแพตช์แก้ไขช่องโหว่ CVE-2026-119977 แม้จะมีการเผยแพร่อัปเดตด้านความปลอดภัยแล้วก็ตาม เนื่องจากกระบวนการอัปเดตยังใช้โค้ดเวอร์ชันเก่าที่มีช่องโหว่ในการแตกไฟล์ติดตั้ง ทำให้แฮกเกอร์อาจใช้ช่วงเวลาสั้น ๆ ดังกล่าวโจมตีและรันโค้ดบนเซิร์ฟเวอร์ได้
Umut Bayram นักวิจัยด้านความปลอดภัยจาก Picus Security ผู้ค้นพบช่องโหว่ดังกล่าว เปิดเผยว่า ปัญหานี้ส่งผลกระทบต่อ WordPress เวอร์ชัน 4.7 ถึง 7.1.3 โดยเฉพาะเว็บไซต์ที่อัปเดต WordPress Core ผ่านแพ็กเกจติดตั้งแบบเต็ม (Full Package) ซึ่งอาจเปิดโอกาสให้ผู้โจมตีเข้าถึงไฟล์ติดตั้งชั่วคราวได้
ช่องโหว่ CVE-2026-119977 เกิดจากอะไร?
ช่องโหว่ CVE-2026-119977 มีคะแนนความรุนแรง CVSS 8.1 จาก 10 คะแนนตามการประเมินของ Wordfence และเกี่ยวข้องกับปัญหาประเภท Time-of-Check Time-of-Use (TOCTOU) ซึ่งเกิดจากการเปลี่ยนแปลงสถานะของระบบระหว่างการตรวจสอบและการใช้งาน
ตามปกติแล้ว เมื่อ WordPress อัปเดต Core ผ่านแพ็กเกจแบบเต็ม ระบบจะแตกไฟล์เวอร์ชันใหม่ลงในโฟลเดอร์ชั่วคราวภายใต้ wp-content/upgrade ก่อนนำไฟล์ไปแทนที่เวอร์ชันเดิม
อย่างไรก็ตาม โฟลเดอร์ดังกล่าวอาจสามารถเข้าถึงได้ผ่านเว็บเซิร์ฟเวอร์ และภายในยังมีไฟล์สำหรับติดตั้ง WordPress อยู่ด้วย หากแฮกเกอร์สามารถคาดเดาชื่อโฟลเดอร์และเข้าถึงไฟล์ติดตั้งก่อนที่ระบบจะลบไฟล์ชั่วคราว ก็อาจใช้ช่องโหว่นี้เพื่อรันโค้ดบนเซิร์ฟเวอร์ได้โดยไม่จำเป็นต้องมีบัญชีผู้ใช้งานได้
ทำไมการติดตั้งแพตช์ถึงยังมีความเสี่ยง?
WordPress ได้เผยแพร่แพตช์แก้ไขช่องโหว่ในเวอร์ชัน 7.1.4 รวมถึงอัปเดตความปลอดภัยสำหรับเวอร์ชันเก่าบางเวอร์ชันตั้งแต่ 4.7 เป็นต้นไป โดยปรับให้ระบบสุ่มชื่อโฟลเดอร์ชั่วคราวเพื่อป้องกันการคาดเดาตำแหน่งไฟล์
แต่ปัญหาคือ ระหว่างที่ติดตั้งแพตช์ครั้งแรก WordPress ยังต้องใช้โค้ดอัปเดตเวอร์ชันเดิมที่มีช่องโหว่อยู่ โดยสำหรับ WordPress เวอร์ชัน 5.9 ขึ้นไป โค้ดอัปเดตเดิมจะตั้งชื่อโฟลเดอร์ชั่วคราวตามชื่อไฟล์แพ็กเกจที่ดาวน์โหลดมา ทำให้แฮกเกอร์ยังมีโอกาสคาดเดาตำแหน่งไฟล์ได้ในระหว่างอัปเดต
หากผู้โจมตีเข้าถึงโฟลเดอร์ดังกล่าวได้ทันเวลา ก็อาจติดตั้ง WordPress ชั่วคราวโดยเชื่อมต่อกับฐานข้อมูลของตนเอง จากนั้นเข้าสู่ระบบและรันโค้ด PHP ด้วยสิทธิ์ของเว็บเซิร์ฟเวอร์ ซึ่งอาจนำไปสู่การอ่านหรือแก้ไขไฟล์ของเว็บไซต์จริงได้
อย่างไรก็ตาม แพตช์ใหม่สามารถป้องกันการนำไฟล์ wp-config.php ที่ถูกสร้างขึ้นในโฟลเดอร์ชั่วคราวไปเขียนทับไฟล์จริงได้ตั้งแต่ระหว่างการติดตั้งแพตช์ครั้งแรกแล้ว
เว็บไซต์ WordPress ที่มีความเสี่ยง
ไม่ใช่การอัปเดตทุกประเภทที่จะเปิดเผยไฟล์ติดตั้ง WordPress โดยระดับความเสี่ยงจะขึ้นอยู่กับแพ็กเกจที่ใช้และโค้ดอัปเดตที่ติดตั้งอยู่ตามเดิม
- Full Package มีไฟล์ติดตั้ง WordPress ครบชุด จึงมีความเสี่ยงที่ไฟล์ติดตั้งชั่วคราวจะถูกเข้าถึง
- Partial Package มีเฉพาะไฟล์ที่เปลี่ยนแปลงระหว่างเวอร์ชัน จึงมีความเสี่ยงในกรณีที่แพ็กเกจนั้นมีไฟล์ติดตั้งรวมอยู่ด้วย
- Automatic Update ยังมีความเสี่ยงเช่นเดียวกัน เนื่องจากใช้กระบวนการอัปเดตเดียวกับการอัปเดตด้วยตนเอง
จากการตรวจสอบพบว่า การอัปเดตภายในเวอร์ชันเดียวกัน เช่น จาก WordPress 7.1.3 เป็น 7.1.4 จะได้รับแพ็กเกจแบบ Partial ขณะที่การอัปเดตข้ามเวอร์ชันบางกรณี เช่น จาก 7.0.7 เป็น 7.1.4 จะได้รับแพ็กเกจแบบ Full
นอกจากนี้ WordPress อาจเลือกใช้ Full Package แม้จะมี Partial Package ให้ใช้งาน หากไฟล์ Core เดิมไม่ตรงกับค่า Checksum อย่างเป็นทางการ หรือเป็นการติดตั้งซ้ำ โดยเมื่อเว็บไซต์ติดตั้งแพตช์เรียบร้อยแล้ว การอัปเดตครั้งถัดไปจะใช้ชื่อโฟลเดอร์ชั่วคราวแบบสุ่ม จึงช่วยลดความเสี่ยงจากช่องโหว่ดังกล่าวได้
วิธีป้องกันเว็บไซต์ก่อนอัปเดต WordPress
- ปิดกั้นการเข้าถึงโฟลเดอร์ชั่วคราว กำหนดค่าเว็บเซิร์ฟเวอร์ Apache หรือ Nginx เพื่อไม่อนุญาตให้เข้าถึง wp-content/upgrade ผ่านเว็บ
- ตั้งค่าผ่าน .htaccess หากสามารถแก้ไขได้เฉพาะไฟล์ .htaccess ให้เพิ่มกฎป้องกันในไฟล์ที่อยู่ภายในโฟลเดอร์หลักของ WordPress โดยไม่ควรวางไฟล์ดังกล่าวไว้ใน wp-content/upgrade เพราะระบบอัปเดตเวอร์ชันเก่าอาจลบไฟล์นั้น
- ตรวจสอบการป้องกัน ทดสอบว่าเมื่อเรียก URL /wp-content/upgrade/ เว็บเซิร์ฟเวอร์ตอบกลับด้วย HTTP 403 Forbidden
- อัปเดต WordPress ติดตั้ง WordPress 7.1.4 หรือเวอร์ชันแก้ไขความปลอดภัยที่ตรงกับสาขาที่ใช้งาน
- ตรวจสอบเว็บไซต์หลังอัปเดต ตรวจสอบไฟล์ บัญชีผู้ดูแลระบบ และปลั๊กอินที่อาจถูกเพิ่มเข้ามาโดยไม่ได้รับอนุญาต
อีกทางเลือกหนึ่งคือการอัปเดต WordPress ด้วยตนเอง โดยแตกไฟล์เวอร์ชันใหม่ภายนอก Web Root ก่อนคัดลอกไฟล์ Core ไปแทนที่ไฟล์เดิม พร้อมสำรองไฟล์เว็บไซต์และฐานข้อมูลล่วงหน้า และหลีกเลี่ยงการเขียนทับ wp-config.php หรือ wp-content
ทั้งนี้ การใช้คำสั่ง wp core update ผ่าน WP-CLI ไม่สามารถหลีกเลี่ยงความเสี่ยงดังกล่าวได้ เนื่องจากยังใช้กระบวนการอัปเดตเดียวกัน
สำหรับ WordPress 4.6 และเวอร์ชันเก่ากว่า ซึ่งไม่ได้รับอัปเดตความปลอดภัยแล้ว ผู้ดูแลเว็บไซต์ควรวางแผนอัปเกรดไปยังเวอร์ชันที่ยังได้รับการสนับสนุน
พบความพยายามโจมตีช่องโหว่แล้ว
สำนักงานความมั่นคงปลอดภัยไซเบอร์และโครงสร้างพื้นฐานของสหรัฐฯ (CISA) ได้เพิ่ม CVE-2026-119977 ลงในรายการ Known Exploited Vulnerabilities (KEV) หลังพบหลักฐานว่าช่องโหว่นี้ถูกนำไปใช้โจมตีจริง
ทางด้าน Wordfence เองก็มีรายงานว่าพบความพยายามโจมตีภายในเวลาเพียง 9 นาทีหลังจากเผยแพร่กฎ Firewall สำหรับป้องกันช่องโหว่ดังกล่าว โดยมีแหล่งโจมตีบางส่วนตรวจสอบเว็บไซต์กลุ่มเดิมต่อเนื่องประมาณ 14.5 ชั่วโมง ซึ่งอาจเป็นความพยายามรอจังหวะที่เว็บไซต์กำลังอัปเดต
นอกจากนี้ ยังมีการเผยแพร่โค้ดที่อ้างว่าสามารถใช้โจมตีช่องโหว่ดังกล่าวบน GitHub แล้ว แต่ยังไม่มีการยืนยันว่าโค้ดเหล่านั้นสามารถทำงานได้จริงทั้งหมด
ที่มา: The Hacker News
