WordPress Core เสี่ยง SQLi ต่อถึง RCE — CVE-2026-63030
ผู้ดูแลเว็บ WordPress รุ่นที่ได้รับผลกระทบควรติดตั้งแพตช์ทันที เพราะช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- REST API ตีความเส้นทางคำขอขัดแย้งกัน และเมื่อใช้ร่วมกับ CVE-2026-60137 อาจนำไปสู่ SQL Injection และการรันโค้ดจากระยะไกล
- ใครควรอ่าน
- ผู้ดูแลระบบ เจ้าของเว็บ / ผู้ดูแล WordPress และผู้ใช้โฮสติ้งที่มีเว็บ WordPress รุ่นที่ได้รับผลกระทบ
- ทางแก้แบบสั้น
- อัปเดตสาย 6.9 เป็น 6.9.5 หรือสาย 7.0 เป็น 7.0.2 ส่วนสาย 6.8 ต้องใช้ 6.8.6 เพื่อแก้ช่องโหว่ SQL Injection ที่เกี่ยวข้อง
พอดีไล่ฟีด CISA KEV เจอประกาศ WordPress Core หมายเลข CVE-2026-63030 ซึ่งถูกเพิ่มเข้ารายการช่องโหว่ที่มีการโจมตีจริงเมื่อ 21 กรกฎาคม 2026 เรื่องนี้เกี่ยวกับการตีความเส้นทางใน REST API และสามารถใช้ร่วมกับ CVE-2026-60137 เพื่อทำ SQL Injection จนไปถึงการรันโค้ดจากระยะไกลได้ ใครดูแลเว็บ WordPress ควรตรวจรุ่นที่ติดตั้งและลงแพตช์ทันที ระเบียน CVE ระบุความรุนแรงระดับ Critical คะแนน CVSS 3.1 เท่ากับ 9.8
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจทุกเว็บ WordPress ที่รับผิดชอบและติดตั้งรุ่นที่แก้ทันที โดยเริ่มจากเว็บที่เข้าถึงได้จากอินเทอร์เน็ต
- เจ้าของเว็บ / ผู้ดูแล WordPress: เปิดหน้าอัปเดตของ WordPress แล้วอัปเดตตัวระบบทันที พร้อมตรวจเลขรุ่นหลังทำเสร็จ
- ผู้ใช้โฮสติ้ง: ติดต่อผู้ให้บริการหรือผู้ดูแลเว็บให้ยืนยันการอัปเดต WordPress Core ทันที หากไม่มีสิทธิ์อัปเดตเอง
เกิดอะไรขึ้น
REST API ส่วนที่รับหลายคำขอรวมกันแบบ batch ตีความเส้นทางปลายทางผิด ระเบียนจัดเป็น Interpretation Conflict หรือ CWE-436 เมื่อใช้ร่วมกับ SQL Injection ใน author__not_in ของ WP_Query หมายเลข CVE-2026-60137 ผู้โจมตีอาจแทรกคำสั่งฐานข้อมูลแล้วรันโค้ดบนเครื่องที่ให้บริการเว็บได้ ตามประกาศความปลอดภัยของ WordPress
SQL Injection คือการแทรกคำสั่งเข้าไปในคำสั่งฐานข้อมูล ส่วน Remote Code Execution หรือ RCE คือการสั่งให้เครื่องปลายทางรันโค้ดของผู้โจมตี ข้อมูลในเว็บและเครื่องที่ให้บริการเลยเสี่ยงไปด้วย
รายการ KEV ของ CISA ระบุว่าการต่อสองช่องโหว่นี้เปิดทางให้ผู้โจมตีรันโค้ดได้โดยไม่ต้องล็อกอิน และยืนยันว่ามีการใช้โจมตีจริงแล้ว CISA กำหนดวันแก้เป็น 24 กรกฎาคม 2026 สำหรับหน่วยงานที่อยู่ภายใต้ข้อกำหนด โดยให้ทำตามคำแนะนำผู้พัฒนาและตรวจร่องรอยการบุกรุก หากไม่มีมาตรการแก้ให้หยุดใช้ผลิตภัณฑ์ เว็บที่กระทบมีแพตช์แล้ว ควรเร่งติดตั้ง
ใครโดนและรุ่นที่แก้
WordPress ออกแพตช์เมื่อ 17 กรกฎาคม 2026 โดยประกาศ WordPress 7.0.2 แยกผลกระทบแต่ละสายไว้ดังนี้
| สายรุ่น / รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ | ขอบเขต |
|---|---|---|
| WordPress 6.9.0–6.9.4 | 6.9.5 | แก้ทั้ง CVE-2026-63030 และ CVE-2026-60137 |
| WordPress 7.0.0–7.0.1 | 7.0.2 | แก้ทั้งสองช่องโหว่ |
| WordPress 7.1 รุ่นเบตาก่อน beta2 | 7.1 beta2 | แก้ทั้งสองช่องโหว่ |
| WordPress 6.8.0–6.8.5 | 6.8.6 | กระทบเฉพาะ CVE-2026-60137 |
สาย 6.8 ไม่ได้รับผลจาก CVE-2026-63030 แต่ยังต้องแก้ SQL Injection ตามประกาศช่องโหว่ที่เกี่ยวข้อง ส่วนรุ่นก่อน 6.8 ผู้พัฒนาระบุว่าไม่กระทบทั้งสองรายการ ตารางนี้เป็นรุ่นที่แก้ตามประกาศครั้งนี้
ต้องทำอะไร
สำรองไฟล์และฐานข้อมูลก่อนอัปเดต จากนั้นเข้า Dashboard เลือก Updates แล้วกด Update Now ตรวจว่าตัว WordPress Core ขยับถึงรุ่นที่แก้ในสายที่ใช้งาน การอัปเดตเฉพาะปลั๊กอินหรือธีมยังไม่ครอบคลุมแพตช์ของตัว Core
ถ้าใช้ WP-CLI ให้รันในโฟลเดอร์ติดตั้ง WordPress ด้วยบัญชีที่ดูแลไฟล์เว็บ คำสั่งนี้อัปเดตรุ่นย่อยในสายเดิม แล้วแสดงเลขรุ่นเพื่อตรวจผล ตามเอกสาร WP-CLI
wp core update --minor
wp core version
หลังอัปเดตให้เทียบเลขรุ่นกับตาราง และทดสอบหน้าเว็บกับหน้าจัดการให้ใช้งานได้ตามปกติ ทีม WordPress เปิดใช้การบังคับอัปเดตผ่านระบบอัตโนมัติสำหรับรุ่นที่ได้รับผลกระทบแล้ว แต่ผู้ดูแลควรตรวจผลจริงของแต่ละเว็บ ถ้าอัปเดตไม่สำเร็จหรือเลขรุ่นยังต่ำกว่าตาราง ให้แก้ปัญหาการอัปเดตต่อทันที
ส่วนตัวผมมองว่ารายการนี้ควรแพตช์ทันที เพราะมีการโจมตีจริงและผู้พัฒนาแนะนำให้อัปเดตโดยเร็ว ที่มา: CISA KEV — WordPress Core Interpretation Conflict Vulnerability และ WordPress 7.0.2 Release เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย