WordPress Core พบ SQL Injection CVE-2026-60137 ถูกโจมตีจริง
ผู้ดูแลเว็บ WordPress ที่อยู่ในรุ่นได้รับผลกระทบควรอัปเดตทันที เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ข้อมูลที่ไม่น่าเชื่อถืออาจกลายเป็นคำสั่ง SQL และเมื่อใช้ร่วมกับ CVE-2026-63030 อาจนำไปสู่การรันโค้ดโดยไม่ต้องล็อกอิน
- Who should read
- ผู้ดูแลระบบ เจ้าของเว็บ / ผู้ดูแล WordPress นักพัฒนา และผู้ใช้โฮสติ้งที่ใช้ WordPress รุ่นได้รับผลกระทบ
- Fix in short
- อัปเดต Core เป็น 6.8.6, 6.9.5 หรือ 7.0.2 ตามสายรุ่น และใช้ 7.1 beta2 สำหรับสายทดสอบ
พอดีไล่ฟีด CISA KEV เจอ WordPress Core ถูกเพิ่มรายการ CVE-2026-60137 เมื่อวันที่ 21 กรกฎาคม 2026 เป็นช่องโหว่ SQL Injection ที่มีการโจมตีจริงแล้ว จุดที่ต้องระวังคือเมื่อใช้ร่วมกับ CVE-2026-63030 ผู้โจมตีที่ไม่ต้องล็อกอินอาจรันโค้ดจากระยะไกลบน WordPress ที่ติดตั้งตามค่าเริ่มต้นได้ งานนี้ต้องตรวจรุ่นของตัว Core และอัปเดตให้ตรงสายที่ใช้งาน
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจเว็บ WordPress ที่รับผิดชอบและติดตั้ง Core รุ่นแก้ทันที
- เจ้าของเว็บ / ผู้ดูแล WordPress: เปิดหน้าอัปเดตหลังบ้านและอัปเดต WordPress ทันทีหากยังอยู่ในรุ่นที่มีช่องโหว่
- นักพัฒนา: อัปเดต Core ที่ใช้ทดสอบและตรวจจุดที่ปลั๊กอินหรือธีมส่งข้อมูลภายนอกเข้า WP_Query โดยเร่งด่วน
- ผู้ใช้โฮสติ้ง: ติดต่อผู้ให้บริการทันทีเพื่อยืนยันว่า WordPress ของเว็บได้รับแพตช์แล้วหากอัปเดตเองไม่ได้
เกิดอะไรขึ้น
ตามระเบียน CVE-2026-60137 ปัญหาอยู่ที่พารามิเตอร์ author__not_in ของ WP_Query ซึ่งใช้สร้างคำสั่งค้นข้อมูลใน WordPress ระบบกรองข้อมูลเข้าไม่เหมาะสม ถ้าปลั๊กอินหรือธีมส่งข้อมูลที่ไม่น่าเชื่อถือเข้าไป ผู้โจมตีอาจแทรกคำสั่ง SQL เพื่ออ่านข้อมูลได้
WPScan ให้คะแนนช่องโหว่นี้ตัวเดียวที่ CVSS 3.1 เท่ากับ 5.9 ระดับ Medium ส่วนประกาศผู้พัฒนาบน GitHub ใช้ระดับ Moderate ขณะที่ประกาศ WordPress 7.0.2 ระบุว่ามีหนึ่ง Critical และหนึ่ง High ระดับของ SQL Injection เลยไม่ตรงกับ advisory แต่ทั้งสองแหล่งแนะนำให้อัปเดตทันที ในสาย 6.9 ขึ้นไป ปัญหานี้ใช้ร่วมกับ REST API batch-route confusion ใน CVE-2026-63030 เพื่อรันโค้ดจากระยะไกลได้
สาย 6.8 กระทบเฉพาะ SQL Injection ส่วนสาย 6.9, 7.0 และ 7.1 beta กระทบทั้งสองช่องโหว่ตามประกาศ WordPress การรันโค้ดที่กล่าวถึงต้องใช้สองช่องโหว่ร่วมกัน
ใครโดนและรุ่นที่แก้
ตารางนี้อ้างอิงประกาศ WordPress 7.0.2 และ advisory ของผู้พัฒนา โดยรุ่นแก้เป็นรุ่นที่ออกสำหรับเหตุการณ์นี้
| สายรุ่น / รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ | ขอบเขต |
|---|---|---|
| WordPress 6.8.0–6.8.5 | 6.8.6 | SQL Injection |
| WordPress 6.9.0–6.9.4 | 6.9.5 | ทั้งสองช่องโหว่ |
| WordPress 7.0.0–7.0.1 | 7.0.2 | ทั้งสองช่องโหว่ |
| WordPress 7.1 beta ก่อนรุ่นแก้ | 7.1 beta2 | ทั้งสองช่องโหว่ |
ผู้พัฒนาระบุว่ารุ่นก่อน 6.8 ไม่ได้รับผลกระทบจากสองช่องโหว่นี้ ข้อความนี้เป็นขอบเขตของประกาศ ไม่ใช่การรับรองความปลอดภัยของรุ่นเก่าทั้งหมด
ต้องทำอะไร
สำรองฐานข้อมูลและไฟล์เว็บก่อนอัปเดต แล้วเข้า Dashboard เลือก Updates และกด Update Now ตามวิธีที่ WordPress แนะนำ เมื่อติดตั้งเสร็จให้ตรวจหมายเลขรุ่นอีกครั้งและทดสอบหน้าที่ใช้งานหลัก เช่น การล็อกอิน การแสดงบทความ และฟังก์ชันของปลั๊กอิน เพื่อยืนยันว่าการอัปเดตเสร็จสมบูรณ์
WordPress ระบุว่าเปิดการบังคับอัปเดตผ่านระบบอัตโนมัติให้รุ่นที่ได้รับผลกระทบแล้ว แต่ผู้ดูแลควรตรวจผลจริงของแต่ละเว็บ ส่วนผู้พัฒนาปลั๊กอินหรือธีมควรทบทวนเส้นทางข้อมูลที่ส่งเข้า author__not_in ควบคู่กับการอัปเดต Core
ข้อมูล KEV ทางการของ CISA กำหนดวันแก้เป็น 4 สิงหาคม 2026 สำหรับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ในขอบเขตข้อกำหนด ผู้ดูแลเว็บไทยควรใช้ข้อมูลว่าถูกโจมตีจริงเป็นเหตุผลในการเร่งแพตช์ ไม่รอจนถึงเส้นตายนั้น ประกาศ WordPress แนะนำให้อัปเดตทันที และไม่ได้เสนอ workaround แทนแพตช์
ส่วนตัวผมให้เรื่องนี้อยู่ในคิวแพตช์ทันที โดยเฉพาะเว็บที่เปิดรับจากอินเทอร์เน็ต ที่มา: CISA KEV — WordPress Core SQL Injection Vulnerability, CVE-2026-60137 และ WordPress 7.0.2 Release หากมีรายละเอียดเพิ่มเติมจากประกาศทางการ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first