WordPress 7.0.3 แก้ช่องโหว่หลายรายการ รวม CVE-2026-64638
เจ้าของเว็บและผู้ดูแล WordPress ควรสำรองข้อมูลแล้วติดตั้งแพตช์ความปลอดภัยทันที
สรุปใน 1 นาที
- อาการ/ปัญหา
- ช่องโหว่ครอบคลุม XSS การยกระดับสิทธิ์ ข้อมูลรั่ว และ SSRF โดยปัญหาหน้าล็อกอินอาจต่อยอดไปถึงการรัน PHP ตามเงื่อนไข
- ใครควรอ่าน
- เจ้าของเว็บ / ผู้ดูแล WordPress และผู้ใช้โฮสติ้งที่มีเว็บไซต์ WordPress ต้องตรวจการอัปเดต
- ทางแก้แบบสั้น
- อัปเดตเป็น WordPress 7.0.3 หรือแพตช์ของสาขาที่ใช้อยู่ และตรวจเลขรุ่นหลังดำเนินการ
พอดีไล่ฟีด WordPress เจอประกาศ 7.0.3 วันที่ 6 สิงหาคม 2026 รุ่นนี้แก้ปัญหาความปลอดภัย 12 รายการ ผู้พัฒนาแนะนำให้อัปเดตทันที หนึ่งในนั้นคือ XSS ที่หน้าล็อกอิน ผู้โจมตีไม่ต้องมีบัญชี แต่การต่อยอดไปสู่การรัน PHP ต้องอาศัยเงื่อนไขอื่นด้วย
ใครต้องทำอะไร
- เจ้าของเว็บ / ผู้ดูแล WordPress: สำรองไฟล์และฐานข้อมูลแล้วอัปเดต WordPress ทันที พร้อมตรวจว่าเว็บไซต์ยังทำงานได้ตามปกติ
- ผู้ใช้โฮสติ้ง: หากให้ผู้ให้บริการดูแลการอัปเดต WordPress ให้ติดต่อขอตรวจเลขรุ่นและติดตั้งแพตช์ทันที
เกิดอะไรขึ้น
ช่องโหว่หน้าล็อกอินคือ CVE-2026-64638 / GHSA-52p2-r8wf-jcrf เป็น reflected XSS ก่อนล็อกอิน ผู้โจมตีต้องหลอกให้เหยื่อโต้ตอบกับเว็บที่เตรียมไว้ การต่อยอดไปสู่การรันโค้ดบนเซิร์ฟเวอร์ยังต้องอาศัยเงื่อนไขที่ผู้โจมตีควบคุมไม่ได้ advisory ของ WordPress ให้ระดับ High และ CVSS v4 เท่ากับ 8.9 คะแนนนี้เป็นของช่องโหว่หน้าล็อกอินรายการเดียว
รายการอื่นในรุ่นนี้มี stored XSS สำหรับบัญชีระดับ Contributor ขึ้นไป ในส่วนตั้งค่า emoji ของโพสต์, Post Content, Post Date และ Quick Edit ซึ่งกรณีหลังเกี่ยวกับเว็บที่มีผู้ใช้จำนวนมาก นอกจากนี้ยังมี CSS injection สำหรับบัญชี Author ขึ้นไป ผ่านการเลี่ยงตัวกรองแอตทริบิวต์ CSS ที่ปลอดภัย
ส่วนปัญหาสิทธิ์และข้อมูล ได้แก่ การสร้างเว็บไซต์โดยไม่ได้รับสิทธิ์บน Multisite ที่เปิดรับสมัครสมาชิก, Latest Comments เปิดเผยความเห็นของโพสต์ที่ป้องกันด้วยรหัสผ่าน, การไล่หารายชื่อ slug ของโพสต์ และบันทึกโน้ตหลุดผ่าน comment feed อีกสองรายการคือการข้ามขั้นตอนยืนยันอีเมล และ SSRF ในการตรวจ URL ที่ยอมให้ส่งคำขอไปยังช่วงที่อยู่ link-local ได้ รายละเอียดเหล่านี้อยู่ในรายการแก้ไขของรุ่น 7.0.3
ใครโดนและรุ่นที่แก้
ตารางนี้ใช้ตรวจแพตช์ของ CVE-2026-64638 ตาม advisory ของ WordPress ช่องโหว่อื่นในประกาศไม่ได้กระทบทุกสาขาเท่ากัน
ระเบียน CVE JSON กลับระบุรุ่นต่ำกว่า 7.0.3 เป็น unaffected ซึ่งขัดกับคำอธิบายในระเบียนเดียวกันและ advisory ผู้พัฒนา ตารางนี้เลยยึด advisory ของ WordPress
| รุ่นที่กระทบ | รุ่นแก้ไข | รุ่นที่กระทบ | รุ่นแก้ไข |
|---|---|---|---|
| 7.0.0–7.0.2 | 7.0.3 | 5.8.0–5.8.13 | 5.8.14 |
| 6.9.0–6.9.5 | 6.9.6 | 5.7.0–5.7.15 | 5.7.16 |
| 6.8.0–6.8.6 | 6.8.7 | 5.6.0–5.6.17 | 5.6.18 |
| 6.7.0–6.7.5 | 6.7.6 | 5.5.0–5.5.18 | 5.5.19 |
| 6.6.0–6.6.5 | 6.6.6 | 5.4.0–5.4.19 | 5.4.20 |
| 6.5.0–6.5.8 | 6.5.9 | 5.3.0–5.3.21 | 5.3.22 |
| 6.4.0–6.4.8 | 6.4.9 | 5.2.0–5.2.24 | 5.2.25 |
| 6.3.0–6.3.8 | 6.3.9 | 5.1.0–5.1.22 | 5.1.23 |
| 6.2.0–6.2.9 | 6.2.10 | 5.0.0–5.0.25 | 5.0.26 |
| 6.1.0–6.1.10 | 6.1.11 | 4.9.0–4.9.29 | 4.9.30 |
| 6.0.0–6.0.12 | 6.0.13 | 4.8.0–4.8.28 | 4.8.29 |
| 5.9.0–5.9.13 | 5.9.14 | 4.7.0–4.7.33 | 4.7.34 |
ที่มาเลขรุ่น: WordPress security advisory และ HelpHub รุ่น 7.0.3 ระบุว่าสาขา 4.6 และเก่ากว่าไม่ได้รับอัปเดตความปลอดภัยแล้ว ประกาศยังระบุว่า 7.1 RC2 รวมแพตช์ที่เกี่ยวข้อง แต่เป็นรุ่นทดสอบ
ต้องทำอะไร
สำรองไฟล์เว็บไซต์และฐานข้อมูลให้เรียบร้อยก่อน แล้วเข้า Dashboard → Updates → Update Now หรือดาวน์โหลดแพ็กเกจจาก WordPress.org ตามวิธีที่ประกาศแนะนำ หากเว็บไซต์รองรับการอัปเดตเบื้องหลัง ระบบจะเริ่มอัปเดตอัตโนมัติ แต่ควรกลับไปตรวจเลขรุ่นจริงหลังทำงานเสร็จ ไม่ถือว่าการเปิดอัปเดตอัตโนมัติเป็นหลักฐานว่าติดตั้งแพตช์แล้ว
หลังอัปเดต ให้ลองล็อกอิน เปิดหน้าเว็บ และเขียนหรือแก้โพสต์ หากยังใช้สาขาเก่า ให้ตรวจแพตช์ตามตารางและวางแผนอัปเกรด WordPress ระบุว่าดูแลอย่างต่อเนื่องเฉพาะรุ่นล่าสุด แม้จะส่งแพตช์บางรายการกลับไปให้สาขาเก่าด้วย
ส่วนตัวผมมองว่าควรอัปเดตทันที เพราะมีทั้งปัญหาก่อนล็อกอินและปัญหาที่กระทบสิทธิ์หรือข้อมูลของเว็บไซต์ ที่มา: WordPress 7.0.3 release หากมีรายละเอียดจากผู้พัฒนาเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย