WordPress 7.0.4 แก้ช่องโหว่อัปโหลดไฟล์รันโค้ด CVE-2026-65640
ผู้ดูแล WordPress ควรอัปเดตทันที โดยเร่งตรวจเว็บที่ใช้ Imagick และ Ghostscript ร่วมกันและมีบัญชีที่อัปโหลดไฟล์ได้
1-minute summary
- Symptom / problem
- บัญชีที่มีสิทธิ์อัปโหลดไฟล์อาจส่งไฟล์อันตรายให้ระบบประมวลผลจนรันโค้ดบนเซิร์ฟเวอร์ได้
- Who should read
- เจ้าของเว็บ / ผู้ดูแล WordPress ผู้ดูแลระบบ และผู้ใช้โฮสติ้งที่มีเว็บใช้ Imagick ร่วมกับ Ghostscript
- Fix in short
- อัปเดต WordPress เป็น 7.0.4 หรือรุ่นแก้ของสายที่ใช้งาน แล้วตรวจเลขรุ่นหลังอัปเดต
พอดีไล่ฟีด WordPress เจอประกาศ WordPress 7.0.4 Release ลงวันที่ 12 สิงหาคม 2026 เป็นรุ่นแก้ปัญหาความปลอดภัยหนึ่งรายการ และผู้พัฒนาแนะนำให้อัปเดตเว็บไซต์ทันที ประเด็นคือบัญชีผู้ใช้ระดับ Author ขึ้นไปอาจอัปโหลดไฟล์อันตรายเพื่อรันโค้ดบนเซิร์ฟเวอร์ได้ หากเว็บนั้นใช้ Imagick ร่วมกับ Ghostscript
ใครต้องทำอะไร
- เจ้าของเว็บ / ผู้ดูแล WordPress: สำรองข้อมูลแล้วอัปเดต WordPress ทันที โดยเร่งเว็บที่ใช้ Imagick และ Ghostscript ร่วมกันเป็นพิเศษ
- ผู้ดูแลระบบ: ตรวจว่าเว็บใช้ Imagick ร่วมกับ Ghostscript หรือไม่ และประสานให้อัปเดต WordPress ทุกเว็บที่เข้าเงื่อนไขทันที
- ผู้ใช้โฮสติ้ง: หากผู้ให้บริการดูแลการอัปเดตให้ ให้สอบถามทันทีว่าเว็บได้รับรุ่นแก้แล้วหรือยัง
เกิดอะไรขึ้น
ช่องโหว่มีรหัส CVE-2026-65640 และ GHSA-8vr3-7mxf-gx8w โดย advisory ของทีม WordPress จัดความรุนแรงเป็น High คะแนน CVSS v3.0 8.8 ปัญหาเกี่ยวข้องกับการอัปโหลดไฟล์ PostScript อันตราย และการจัดการไฟล์บางชนิดที่ฝังอยู่ภายในโดย Ghostscript
ช่องโหว่นี้มีเงื่อนไขสองส่วน เซิร์ฟเวอร์ต้องใช้ Imagick ร่วมกับ Ghostscript และผู้โจมตีต้องมีสิทธิ์ upload_files ประกาศเรียกกลุ่มนี้ว่า Author ขึ้นไป ถ้าเว็บปรับแต่งบทบาทเอง ให้ตรวจสิทธิ์จริงด้วย
ผลกระทบคือ remote code execution หรือการทำให้เซิร์ฟเวอร์รันโค้ดที่ผู้โจมตีเลือก คะแนน CVSS ระบุผลกระทบสูงต่อความลับ ความถูกต้อง และความพร้อมใช้งานของข้อมูล ช่องโหว่นี้ยังไม่อยู่ใน KEV ฉบับ 4 พฤศจิกายน 2026
ใครโดนและรุ่นที่แก้
ตารางนี้อ้างอิงช่วงรุ่นที่ได้รับผลกระทบและรุ่นแก้จาก advisory โดยยังต้องพิจารณาเงื่อนไข Imagick, Ghostscript และสิทธิ์อัปโหลดร่วมด้วย
| สาย WordPress | รุ่นที่ได้รับผลกระทบ | รุ่นที่แก้ |
|---|---|---|
| 7.0 | 7.0.0–7.0.3 | 7.0.4 |
| 6.9 | 6.9.0–6.9.6 | 6.9.7 |
| 6.8 | 6.8.0–6.8.7 | 6.8.8 |
| 6.7 | 6.7.0–6.7.6 | 6.7.7 |
| 6.6 | 6.6.0–6.6.6 | 6.6.7 |
| 6.5 | 6.5.0–6.5.9 | 6.5.10 |
| 6.4 | 6.4.0–6.4.9 | 6.4.10 |
| 6.3 | 6.3.0–6.3.9 | 6.3.10 |
| 6.2 | 6.2.0–6.2.10 | 6.2.11 |
| 6.1 | 6.1.0–6.1.11 | 6.1.12 |
| 6.0 | 6.0.0–6.0.13 | 6.0.14 |
| 5.9 | 5.9.0–5.9.15 | 5.9.16 |
| 5.8 | 5.8.0–5.8.14 | 5.8.15 |
| 5.7 | 5.7.0–5.7.16 | 5.7.17 |
| 5.6 | 5.6.0–5.6.18 | 5.6.19 |
| 5.5 | 5.5.0–5.5.19 | 5.5.20 |
| 5.4 | 5.4.0–5.4.20 | 5.4.21 |
| 5.3 | 5.3.0–5.3.22 | 5.3.23 |
| 5.2 | 5.2.0–5.2.25 | 5.2.26 |
| 5.1 | 5.1.0–5.1.23 | 5.1.24 |
| 5.0 | 5.0.0–5.0.26 | 5.0.27 |
| 4.9 | 4.9.0–4.9.30 | 4.9.31 |
| 4.8 | 4.8.0–4.8.29 | 4.8.30 |
| 4.7 | 4.7.0–4.7.34 | 4.7.35 |
ประกาศหลักระบุว่ากำลังทยอย backport ลงถึงสาย 4.7 และเตรียมรวมการแก้ใน 7.1 RC3 ส่วน เอกสารรุ่น 7.0.4 ระบุรุ่นแก้สายเก่าตามตาราง WordPress รองรับเชิงรุกเฉพาะรุ่นใหม่สุด การมี backport ไม่ได้แปลว่ารองรับสายเก่าเต็มรูปแบบ และสาย 4.6 ลงไปไม่ได้รับอัปเดตความปลอดภัยแล้ว
ข้อมูลช่วงรุ่นมีจุดที่ไม่ตรงกัน: CVE record ระบุรวมว่ารุ่นต่ำกว่า 7.0.4 ได้รับผลกระทบ แต่ advisory และเอกสาร WordPress แยกรุ่นแก้สายเก่าไว้แล้ว ให้ใช้ตารางแยกสายตรวจแพตช์
ต้องทำอะไร
สำรองฐานข้อมูลและไฟล์เว็บไซต์ก่อน แล้วเข้าหน้าผู้ดูแลไปที่ Dashboard → Updates → Update Now เพื่อรับอัปเดต WordPress อีกทางคือดาวน์โหลดแพ็กเกจจาก WordPress.org ตามที่ประกาศแนะนำ สำหรับเว็บสาย 7.0 ให้ตรวจว่าหลังดำเนินการเป็น 7.0.4 ส่วนสายอื่นให้เทียบกับรุ่นแก้ในตาราง
เว็บที่รองรับ automatic background updates จะเริ่มรับอัปเดตตามกลไกของระบบ แต่ควรเปิดตรวจเลขรุ่นจริงก่อนปิดงาน อย่าถือว่าการเปิดอัปเดตอัตโนมัติแปลว่าติดตั้งสำเร็จแล้ว หลังอัปเดตให้ทดสอบหน้าเว็บ การเข้าสู่ระบบ และการอัปโหลดสื่อปกติ เพื่อให้แน่ใจว่างานหลักยังใช้งานได้ คำแนะนำเรื่องสำรองข้อมูลและทดสอบนี้เป็นขั้นตอนปฏิบัติงานทั่วไปเพิ่มเติมจากประกาศ
ส่วนตัวผมให้เป็นงานอัปเดตทันที โดยเฉพาะเว็บที่เข้าเงื่อนไขทั้งระบบประมวลผลไฟล์และสิทธิ์อัปโหลด เพราะผลกระทบไปถึงการรันโค้ดบนเซิร์ฟเวอร์ ที่มา: WordPress 7.0.4 Release หากมีรายละเอียดจากผู้พัฒนาเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first