WordPress Core เสี่ยง SQLi ต่อถึง RCE — CVE-2026-63030
ผู้ดูแลเว็บ WordPress รุ่นที่ได้รับผลกระทบควรติดตั้งแพตช์ทันที เพราะช่องโหว่นี้ถูกใช้โจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- REST API ตีความเส้นทางคำขอขัดแย้งกัน และเมื่อใช้ร่วมกับ CVE-2026-60137 อาจนำไปสู่ SQL Injection และการรันโค้ดจากระยะไกล
- Who should read
- ผู้ดูแลระบบ เจ้าของเว็บ / ผู้ดูแล WordPress และผู้ใช้โฮสติ้งที่มีเว็บ WordPress รุ่นที่ได้รับผลกระทบ
- Fix in short
- อัปเดตสาย 6.9 เป็น 6.9.5 หรือสาย 7.0 เป็น 7.0.2 ส่วนสาย 6.8 ต้องใช้ 6.8.6 เพื่อแก้ช่องโหว่ SQL Injection ที่เกี่ยวข้อง
พอดีไล่ฟีด CISA KEV เจอประกาศ WordPress Core หมายเลข CVE-2026-63030 ซึ่งถูกเพิ่มเข้ารายการช่องโหว่ที่มีการโจมตีจริงเมื่อ 21 กรกฎาคม 2026 เรื่องนี้เกี่ยวกับการตีความเส้นทางใน REST API และสามารถใช้ร่วมกับ CVE-2026-60137 เพื่อทำ SQL Injection จนไปถึงการรันโค้ดจากระยะไกลได้ ใครดูแลเว็บ WordPress ควรตรวจรุ่นที่ติดตั้งและลงแพตช์ทันที ระเบียน CVE ระบุความรุนแรงระดับ Critical คะแนน CVSS 3.1 เท่ากับ 9.8
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจทุกเว็บ WordPress ที่รับผิดชอบและติดตั้งรุ่นที่แก้ทันที โดยเริ่มจากเว็บที่เข้าถึงได้จากอินเทอร์เน็ต
- เจ้าของเว็บ / ผู้ดูแล WordPress: เปิดหน้าอัปเดตของ WordPress แล้วอัปเดตตัวระบบทันที พร้อมตรวจเลขรุ่นหลังทำเสร็จ
- ผู้ใช้โฮสติ้ง: ติดต่อผู้ให้บริการหรือผู้ดูแลเว็บให้ยืนยันการอัปเดต WordPress Core ทันที หากไม่มีสิทธิ์อัปเดตเอง
เกิดอะไรขึ้น
REST API ส่วนที่รับหลายคำขอรวมกันแบบ batch ตีความเส้นทางปลายทางผิด ระเบียนจัดเป็น Interpretation Conflict หรือ CWE-436 เมื่อใช้ร่วมกับ SQL Injection ใน author__not_in ของ WP_Query หมายเลข CVE-2026-60137 ผู้โจมตีอาจแทรกคำสั่งฐานข้อมูลแล้วรันโค้ดบนเครื่องที่ให้บริการเว็บได้ ตามประกาศความปลอดภัยของ WordPress
SQL Injection คือการแทรกคำสั่งเข้าไปในคำสั่งฐานข้อมูล ส่วน Remote Code Execution หรือ RCE คือการสั่งให้เครื่องปลายทางรันโค้ดของผู้โจมตี ข้อมูลในเว็บและเครื่องที่ให้บริการเลยเสี่ยงไปด้วย
รายการ KEV ของ CISA ระบุว่าการต่อสองช่องโหว่นี้เปิดทางให้ผู้โจมตีรันโค้ดได้โดยไม่ต้องล็อกอิน และยืนยันว่ามีการใช้โจมตีจริงแล้ว CISA กำหนดวันแก้เป็น 24 กรกฎาคม 2026 สำหรับหน่วยงานที่อยู่ภายใต้ข้อกำหนด โดยให้ทำตามคำแนะนำผู้พัฒนาและตรวจร่องรอยการบุกรุก หากไม่มีมาตรการแก้ให้หยุดใช้ผลิตภัณฑ์ เว็บที่กระทบมีแพตช์แล้ว ควรเร่งติดตั้ง
ใครโดนและรุ่นที่แก้
WordPress ออกแพตช์เมื่อ 17 กรกฎาคม 2026 โดยประกาศ WordPress 7.0.2 แยกผลกระทบแต่ละสายไว้ดังนี้
| สายรุ่น / รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ | ขอบเขต |
|---|---|---|
| WordPress 6.9.0–6.9.4 | 6.9.5 | แก้ทั้ง CVE-2026-63030 และ CVE-2026-60137 |
| WordPress 7.0.0–7.0.1 | 7.0.2 | แก้ทั้งสองช่องโหว่ |
| WordPress 7.1 รุ่นเบตาก่อน beta2 | 7.1 beta2 | แก้ทั้งสองช่องโหว่ |
| WordPress 6.8.0–6.8.5 | 6.8.6 | กระทบเฉพาะ CVE-2026-60137 |
สาย 6.8 ไม่ได้รับผลจาก CVE-2026-63030 แต่ยังต้องแก้ SQL Injection ตามประกาศช่องโหว่ที่เกี่ยวข้อง ส่วนรุ่นก่อน 6.8 ผู้พัฒนาระบุว่าไม่กระทบทั้งสองรายการ ตารางนี้เป็นรุ่นที่แก้ตามประกาศครั้งนี้
ต้องทำอะไร
สำรองไฟล์และฐานข้อมูลก่อนอัปเดต จากนั้นเข้า Dashboard เลือก Updates แล้วกด Update Now ตรวจว่าตัว WordPress Core ขยับถึงรุ่นที่แก้ในสายที่ใช้งาน การอัปเดตเฉพาะปลั๊กอินหรือธีมยังไม่ครอบคลุมแพตช์ของตัว Core
ถ้าใช้ WP-CLI ให้รันในโฟลเดอร์ติดตั้ง WordPress ด้วยบัญชีที่ดูแลไฟล์เว็บ คำสั่งนี้อัปเดตรุ่นย่อยในสายเดิม แล้วแสดงเลขรุ่นเพื่อตรวจผล ตามเอกสาร WP-CLI
wp core update --minor
wp core version
หลังอัปเดตให้เทียบเลขรุ่นกับตาราง และทดสอบหน้าเว็บกับหน้าจัดการให้ใช้งานได้ตามปกติ ทีม WordPress เปิดใช้การบังคับอัปเดตผ่านระบบอัตโนมัติสำหรับรุ่นที่ได้รับผลกระทบแล้ว แต่ผู้ดูแลควรตรวจผลจริงของแต่ละเว็บ ถ้าอัปเดตไม่สำเร็จหรือเลขรุ่นยังต่ำกว่าตาราง ให้แก้ปัญหาการอัปเดตต่อทันที
ส่วนตัวผมมองว่ารายการนี้ควรแพตช์ทันที เพราะมีการโจมตีจริงและผู้พัฒนาแนะนำให้อัปเดตโดยเร็ว ที่มา: CISA KEV — WordPress Core Interpretation Conflict Vulnerability และ WordPress 7.0.2 Release เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first